Estados Unidos oferecem recompensa de até 10 milhões de dólares por informações sobre acusado na campanha Hafnium
O Departamento de Estado dos EUA ofereceu uma recompensa de até 10 milhões de dólares por informações que levem à localização de Zhang Yu, acusado de participar da campanha Hafnium, que explorou vulnerabilidades do Microsoft Exchange e invadiu milhares de dispositivos em todo o mundo.
O Departamento de Estado dos EUA anunciou uma recompensa de até 10 milhões de dólares por informações sobre Zhang Yu, cidadão chinês que as autoridades acusam de participar da campanha Hafnium, que teve como alvo servidores do Microsoft Exchange, enquanto o acusado continua fora do alcance das autoridades.
O anúncio foi feito por meio do programa Rewards for Justice, que oferece recompensas por informações sobre pessoas que atacam a infraestrutura crítica dos EUA em violação à Lei de Fraude e Abuso de Computadores, quando executam suas operações sob orientação ou controle de um governo estrangeiro.
Acusações relacionadas a invasões em larga escala
Zhang foi acusado, juntamente com Xu Zewei, em uma denúncia com nove acusações revelada em julho de 2025. As autoridades americanas afirmam que os dois, a partir do início de 2020, obtiveram acesso não autorizado a pesquisas relacionadas à pandemia de COVID-19 conduzidas por universidades americanas e pesquisadores de imunologia e virologia, com o objetivo de roubar informações sensíveis.
Segundo o programa americano, Zhang era diretor da Shanghai Firetech Information Science and Technology Company e supostamente trabalhava para o Escritório de Segurança do Estado de Xangai, subordinado ao Ministério da Segurança do Estado da China. As acusações também indicaram que Xu era, na época, diretor-geral da Shanghai Powerock Network Co. Ltd.
No ano seguinte, os dois homens foram acusados de explorar vulnerabilidades no Microsoft Exchange como parte da campanha Hafnium. As autoridades disseram que a campanha afetou milhares de computadores em todo o mundo, incluindo entre suas vítimas uma universidade americana e um escritório de advocacia americano.
Por que esta notícia é importante?
A nova recompensa revela que o caso não se limita à descrição técnica de uma campanha de invasão anterior, mas avançou para uma fase de perseguição criminal internacional contra uma pessoa que se acredita ter desempenhado um papel direto em uma operação que afetou um grande número de instituições. A Microsoft revelou os ataques do Hafnium em março de 2021, e atualmente rastreia o grupo sob o nome Silk Typhoon.
De acordo com o Federal Bureau of Investigation dos EUA, a campanha levou à invasão de mais de 12.700 organizações nos Estados Unidos. Isso confere ao caso importância prática para as equipes de segurança, porque a exploração de servidores de e-mail corporativo pode abrir caminho para o acesso a dados de comunicações e arquivos internos, mesmo quando o servidor não é o alvo final da operação.
Desenvolvimentos do caso
A polícia italiana prendeu Xu em Milão a pedido dos Estados Unidos, antes de extraditá-lo para os EUA em abril de 2026. Xu compareceu posteriormente perante um tribunal federal em Houston, enquanto Zhang continua foragido. A oferta da recompensa, por si só, não comprova as acusações contra Zhang, que continuam sujeitas aos procedimentos judiciais.