Les États-Unis offrent une récompense pouvant atteindre 10 millions de dollars pour toute information sur un accusé dans la campagne Hafnium
Le département d’État américain a offert une récompense pouvant atteindre 10 millions de dollars pour toute information permettant de localiser Zhang Yu, accusé d’avoir participé à la campagne Hafnium, qui a exploité des vulnérabilités de Microsoft Exchange et compromis des milliers d’appareils dans le monde.
Le département d’État américain a annoncé une récompense pouvant atteindre 10 millions de dollars pour toute information concernant Zhang Yu, un ressortissant chinois accusé par les autorités d’avoir participé à la campagne Hafnium visant des serveurs Microsoft Exchange, alors que l’accusé demeure hors de portée des autorités.
L’annonce a été faite dans le cadre du programme Rewards for Justice, qui offre des récompenses en échange d’informations sur des personnes qui attaquent des infrastructures critiques américaines en violation de la loi sur la fraude et l’utilisation abusive des ordinateurs, lorsqu’elles mènent leurs opérations sous la direction ou le contrôle d’un gouvernement étranger.
Des accusations liées à des compromissions de grande ampleur
Zhang a été inculpé aux côtés de Xu Zewei dans un acte d’accusation comportant neuf chefs d’accusation, rendu public en juillet 2025. Les autorités américaines affirment que les deux hommes ont obtenu, à partir du début de 2020, un accès non autorisé à des recherches liées à la pandémie de Covid-19 menées par des universités américaines et des chercheurs en immunologie et en virologie, dans le but de voler des informations sensibles.
Selon le programme américain, Zhang était directeur de la société Shanghai Firetech Information Science and Technology Company, et aurait travaillé pour le bureau de la sécurité de l’État de Shanghai, qui relève du ministère chinois de la Sécurité de l’État. Les accusations indiquent également que Xu était alors directeur général de Shanghai Powerock Network Co. Ltd.
L’année suivante, les deux hommes ont été accusés d’avoir exploité des vulnérabilités de Microsoft Exchange dans le cadre de la campagne Hafnium. Les autorités ont déclaré que la campagne avait touché des milliers d’ordinateurs dans le monde, parmi lesquels figuraient une université américaine et un cabinet d’avocats américain.
Pourquoi cette information est-elle importante ?
La nouvelle récompense révèle que l’affaire ne se limite pas à la caractérisation technique d’une ancienne campagne de piratage, mais qu’elle est entrée dans une phase de poursuites pénales internationales visant une personne soupçonnée d’avoir joué un rôle direct dans une opération qui a affecté un grand nombre d’organisations. Microsoft avait révélé les attaques de Hafnium en mars 2021, et le groupe est actuellement suivi sous le nom de Silk Typhoon.
Selon le Federal Bureau of Investigation américain, la campagne a compromis plus de 12 700 organisations aux États-Unis. Cela confère à l’affaire une importance concrète pour les équipes de sécurité, car l’exploitation de serveurs de messagerie d’entreprise peut ouvrir la voie à l’accès aux données de communication et aux fichiers internes, même lorsque le serveur n’est pas la cible finale de l’opération.
Évolution de l’affaire
La police italienne a arrêté Xu à Milan à la demande des États-Unis, avant de l’extrader vers les États-Unis en avril 2026. Xu a ensuite comparu devant un tribunal fédéral à Houston, tandis que Zhang demeure en fuite. La proposition de récompense, à elle seule, ne prouve pas les accusations portées contre Zhang, celles-ci restant soumises aux procédures judiciaires.