美国悬赏最高1000万美元，征集提供 Hafnium 行动嫌疑人线索者

美国国务院宣布悬赏最高1000万美元，征集有关中国公民 Zhang Yu 的信息。美国当局指控他参与了针对 Microsoft Exchange 服务器的 Hafnium 行动，目前这名嫌疑人仍未落入法网。

这项公告通过“正义奖励”计划（Rewards for Justice）发布。该计划为提供相关人员信息的人发放奖励，这些人员违反《计算机欺诈与滥用法》，在外国政府的指示或控制下攻击美国关键基础设施并实施行动。

与大规模入侵有关的指控

Zhang 与 Xu Zewei 一同被起诉，相关九项指控列于一份于2025年7月公布的起诉书中。美国当局称，自2020年初起，两人未经授权访问了美国大学以及免疫学和病毒学研究人员有关新冠疫情的研究，目的是窃取敏感信息。

据美国相关计划称，Zhang 曾任 Shanghai Firetech Information Science and Technology Company 的经理，据称为隶属于中国国家安全部的上海市国家安全局工作。指控还称，Xu 当时是 Shanghai Powerock Network Co. Ltd. 的总经理。

次年，两人被指控利用 Microsoft Exchange 漏洞实施 Hafnium 行动。美国当局表示，该行动影响了全球数千台计算机，受害者包括一家美国大学和一家美国律师事务所。

这则新闻为何重要？

这项新悬赏表明，该案件已不再只是对一次既往入侵行动的技术描述，而是进入了针对一名被认为直接参与、且其行动影响大量机构的人员的国际刑事追捕阶段。Microsoft 曾于2021年3月披露 Hafnium 攻击，目前该组织被追踪为Silk Typhoon。

据美国联邦调查局称，该行动导致美国超过12,700家机构遭到入侵。这使该案件对安全团队具有实际意义，因为利用企业邮件服务器的漏洞可能为访问通信数据和内部文件打开通道，即使服务器本身并不是行动的最终目标。

案件进展

意大利警方应美国方面请求在米兰逮捕了 Xu，并于2026年4月将其移交美国。随后，Xu 出庭接受休斯敦一家联邦法院审理，而 Zhang 仍在逃。仅凭悬赏公告本身并不能证明针对 Zhang 的指控成立，因为相关指控仍须经过审判程序。