De Verenigde Staten zetten een forse stap richting opsporing met een Hafnium beloning van maximaal 10 miljoen dollar. Via het programma Rewards for Justice (RFJ) wordt om informatie gevraagd over Zhang Yu, een Chinese staatsburger die wordt beschuldigd van betrokkenheid bij de Hafnium-campagne tegen Microsoft Exchange Server.
De aankondiging kwam deze week naar buiten. In dezelfde context wordt ook een tweede persoon genoemd, wat de zaak verbindt met eerdere ontwikkelingen rond de lopende vervolging.
Wie is Zhang Yu en waar wordt hij van beschuldigd?
Volgens RFJ is Zhang Yu directeur bij Shanghai Firetech Information Science and Technology Company. Hij zou volgens de beschuldigingen hebben gewerkt namens het Shanghai State Security Bureau (SSSB), een onderdeel van de Ministerie van Staatsveiligheid (MSS) van China.
De beschuldiging draait om meer dan alleen de Exchange-incidenten. RFJ stelt dat Zhang en Xu Zewei vanaf begin 2020 ongeautoriseerde toegang verkregen tot COVID-19-onderzoek dat werd uitgevoerd door universiteiten in de Verenigde Staten en door toonaangevende virologen en immunologen.
Van COVID-19-onderzoek naar Exchange-aanvallen
RFJ koppelt de vermeende activiteiten aan twee verschillende fasen. In de periode na de eerste inbraakpogingen zouden Zhang en Xu vervolgens kwetsbaarheden in Microsoft Exchange Server hebben uitgebuit.
Dezelfde informatie vermeldt dat de campagne naar verwachting duizenden computers wereldwijd heeft gecompromitteerd. De slachtoffers zouden onder meer een Amerikaanse universiteit en een Amerikaan advocatenkantoor omvatten.
Waarom staat Microsoft centraal in dit dossier?
Microsoft maakte de Hafnium-aanvallen bekend in maart 2021. Het bedrijf volgt de dreigingsactor inmiddels als Silk Typhoon. Daarmee is de campagne niet alleen onderwerp van juridische actie, maar ook van technische dreigingskennis binnen de beveiligingscommunity.
In de jaren erna bleef de impact van de Exchange-aanvallen zichtbaar in de incidentgeschiedenis van veel organisaties.
Wat betekent de Hafnium beloning van 10 miljoen?
De Hafnium beloning valt onder het RFJ-programma. Dat programma richt zich op informatie over personen die zich richten op kritieke infrastructuur in de VS, in strijd met de Computer Fraud and Abuse Act en onder aansturing of controle van een buitenlandse overheid.
RFJ stelt de beloning beschikbaar “tot” 10 miljoen dollar. Dat impliceert dat de uiteindelijke toekenning kan afhangen van de bruikbaarheid en volledigheid van de aangeleverde informatie.
Xu Zewei: uitlevering en processtappen
Naast Zhang Yu wordt ook Xu Zewei genoemd. RFJ geeft aan dat Xu in april 2026 vanuit Italië is uitgeleverd aan de Verenigde Staten.
De Verenigde Staten hadden Xu betrokken in een juridische zaak die volgens de beschrijving in juli 2025 is geformaliseerd met een tellingen-akte met negen punten. Die aankondiging kwam enkele dagen nadat Italiaanse autoriteiten Xu in Milan arresteerden op verzoek van de VS.
Daarna verscheen Xu in federale rechtbank in Houston. Zhang Yu blijft volgens RFJ nog altijd op vrije voeten.
Meer context: schade en omvang van de campagne
Toen Xu werd uitgeleverd, meldde het FBI dat de campagne meer dan 12.700 Amerikaanse organisaties zou hebben gecompromitteerd. Die brede schaal is een kernreden waarom de overheid dit soort zaken expliciet blijft agenderen via beloningsprogramma’s.
Het is ook de reden dat Hafnium vaak terugkomt in discussies over patchmanagement, toegangscontrole en het voorkomen van misbruik van kwetsbaarheden in e-mail- en communicatieplatformen.
Waarom dit soort dossiers relevant blijft voor security teams
Ook al is de Hafnium-campagne al eerder publiek geworden, de vervolging en beloningsactie benadrukken een structureel punt: aanvallen tegen e-mailomgevingen zijn strategisch. Ze zijn aantrekkelijk omdat veel organisaties sterk leunen op Exchange voor communicatie, authenticatie en workflow.
Bovendien laat het dossier zien dat aanvallers niet altijd “alleen” op het bekende doel mikken. De beschrijving van mogelijke vroege toegang tot COVID-19-onderzoek wijst erop dat aanvallen kunnen voortbouwen op eerdere toegangspatronen en waardevolle gegevens.
Wil je dit vertalen naar praktische security aandachtspunten? Denk dan aan het tijdig patchen van externe toegangsoppervlakken, het beperken van blootstelling en het nauwgezet monitoren op verdachte Exchange-gerelateerde activiteiten.
Als je breder wilt lezen over het verband tussen offensieve TTP’s en beveiligingsrisico’s in de praktijk, zijn deze artikelen mogelijk relevant: SonicWall patches: SSRF met CVSS 10 vóór login en Wazza phishkit: multi-stage routing uitgelegd.
Conclusie
Met de Hafnium beloning van maximaal 10 miljoen dollar richt de VS zich op informatie over Zhang Yu. Hij wordt beschuldigd van betrokkenheid bij een campagne die Microsoft Exchange Server onder druk zette, nadat eerder toegang zou zijn verkregen tot gevoelige onderzoeksdata rond COVID-19.
Voor organisaties is dit een duidelijke herinnering dat e-mail- en communicatieplatformen een hoogwaarde doelwit blijven. Tegelijk laat het dossier zien dat juridische vervolging en internationale samenwerking doorgaans maanden tot jaren kunnen doorlopen—met beloningsprogramma’s als sluitstuk om ontbrekende schakels op te vullen.
Bron: https://www.securityweek.com/us-seeks-alleged-chinese-hafnium-hacker-with-10-million-reward/
