Hafniumキャンペーンの容疑者に関する情報提供に、米国が最大1,000万ドルの懸賞金

米国務省は、Microsoft Exchangeサーバーを標的としたHafniumキャンペーンへの関与を問われ、現在も当局の手の届かないところにいる中国国籍のZhang Yuに関する情報に、最大1,000万ドルの懸賞金を提示した。

発表はRewards for Justiceプログラムを通じて行われた。同プログラムは、外国政府の指示または管理下で活動し、コンピューター詐欺・不正利用防止法に違反して米国の重要インフラを攻撃する人物に関する情報を得るため、懸賞金を提供している。

広範な侵入に関連する容疑

Zhangは、2025年7月に公開された9件の罪状からなる起訴状で、Xu Zeweiとともに起訴された。米当局によると、両人は2020年初頭から、機密情報を盗む目的で、新型コロナウイルス感染症のパンデミックに関連する米国の大学や免疫学・ウイルス学の研究者の研究に不正にアクセスした。

米国の同プログラムによると、ZhangはShanghai Firetech Information Science and Technology Companyの取締役であり、中国国家安全部に属する上海国家安全局のために活動していたとされる。起訴内容では、当時XuはShanghai Powerock Network Co. Ltd.のゼネラルマネージャーだったとも指摘されている。

翌年、両人はHafniumキャンペーンの一環としてMicrosoft Exchangeの脆弱性を悪用したとして訴追された。当局によると、このキャンペーンは世界中の数千台のコンピューターに被害を与え、被害者には米国の大学と米国の法律事務所が含まれていた。

このニュースが重要な理由

今回の懸賞金は、この事件が過去のハッキングキャンペーンに対する技術的な評価にとどまらず、多数の組織に影響を与えた作戦に直接的な役割を果たしたとみられる人物を対象とする国際的な刑事追及の段階に移ったことを示している。Microsoftは2021年3月にHafniumによる攻撃を明らかにしており、現在、同グループはSilk Typhoonの名称で追跡されている。

米連邦捜査局（FBI）によると、このキャンペーンにより米国で12,700以上の組織が侵害された。これはセキュリティチームにとって実務上の重要性を持つ。企業のメールサーバーの悪用は、サーバー自体が作戦の最終目的でない場合でも、通信データや内部ファイルへのアクセスへの道を開く可能性があるためだ。

事件の進展

イタリア警察は米国の要請に基づき、ミラノでXuを逮捕し、2026年4月に米国へ引き渡した。その後、Xuはヒューストンの連邦裁判所に出廷した一方、Zhangは依然として逃走中である。懸賞金の提示だけでZhangに対する容疑が立証されるわけではなく、容疑は引き続き裁判手続きの対象となる。