De Verenigde Staten zetten een grote stap richting het traceren van Zhang Yu, een Chinese verdachte die in verband wordt gebracht met de HAFNIUM-aanvallen op Microsoft Exchange Server. Via het Rewards for Justice-programma wordt nu tot $10 miljoen geboden voor tips die leiden tot identificatie of locatie. Voor security teams is dit opnieuw een signaal dat oude Exchange-incidenten nog steeds relevant blijven, ook jaren nadat patches beschikbaar kwamen.
Autoriteiten geven aan dat Zhang nog niet is gearresteerd. Tegelijk wijzen ze erop dat de strafrechtelijke beschuldigingen niet zijn voorgelegd aan de rechter. Hieronder lees je wat er precies bekend is over de beloning, de rol die aan Zhang wordt toegeschreven en waarom deze zaak ook nu nog impact heeft.
Waarom er nu een HAFNIUM reward van 10 miljoen is
Het Amerikaanse ministerie van Buitenlandse Zaken biedt volgens berichtgeving uit de VS tot $10 miljoen voor informatie die helpt bij het vinden of identificeren van Zhang Yu. De aanleiding ligt in een officiële oproep binnen het Rewards for Justice-programma. Dat programma richt zich op personen die worden verdacht van kwaadaardige cyberactiviteiten tegen kritieke infrastructuur van de Verenigde Staten.
Opvallend is dat de HAFNIUM reward 10 miljoen qua bedrag en formulering lijkt te passen bij een eerdere aanbieding die al in januari 2025 liep. Dit suggereert dat de autoriteiten nog steeds actief zoeken naar doorbraakinformatie over de verblijfplaats van Zhang.
Het programma bestaat sinds 1984 en meldt dat er in totaal al meer dan $250 miljoen is uitgekeerd aan meer dan 125 personen. Daarmee wordt duidelijk dat dit geen eenmalige actie is, maar onderdeel van een bredere aanpak.
Zhang Yu nog voortvluchtig; wat zeggen de aanklachten?
Volgens de Amerikaanse autoriteiten bevindt Zhang Yu zich nog steeds buiten bereik van de VS, waardoor hij voortvluchtig wordt genoemd. Tegelijk benadrukken ze dat de zaak zich in een strafrechtelijk traject bevindt waarin de beschuldigingen nog niet in de rechtszaal zijn getoetst.
In de federale rechtbank van Houston worden Zhang en een tweede verdachte, Xu Zewei, samen vervolgd. De aanklacht dateert uit november 2023 en werd later openbaar gemaakt in juli 2025. Het document (de indictment) bevat negen afzonderlijke onderdelen of tellingen.
De vermeende feiten spelen zich af in de periode februari 2020 tot en met juni 2021. Dat betekent dat het om een langdurig aanvalstraject zou gaan, met in elk geval een eerste golf die zich later specifiek verhoudt tot Exchange.
De beschuldigde rol: Firetech en aansturing vanuit de Chinese staat
De beschuldigingen beschrijven Zhang als directeur bij een Shanghai-bedrijf, Shanghai Firetech Information Science and Technology. In de aanklacht staat dat hij taken zou hebben uitgevoerd die door de Shanghai State Security Bureau zijn toegewezen. Daarnaast zou hij het hackwerk van andere medewerkers binnen Firetech hebben gesuperviseerd en de samenwerking met Xu hebben gecoördineerd.
Dat Shanghai State Security Bureau wordt in de aanklacht gekoppeld aan de Chinese Ministry of State Security (MSS), een inlichtingendienst. Het algemene beeld dat uit de beschrijving naar voren komt: niet alleen technische actoren zijn verdacht, maar ook een organisatorisch en sturend niveau.
Xu wordt op zijn beurt gelinkt aan een tweede Shanghai-onderneming, Shanghai Powerock Network. De Amerikaanse justitie noemt Powerock een voorbeeld van bedrijven die (volgens de aanklacht) worden ingezet om de betrokkenheid van de Chinese overheid te maskeren.
Wat is HAFNIUM precies in deze context?
U.S. autoriteiten plaatsen de Exchange-inbraak in de bredere campagne die bekendstaat als HAFNIUM. Microsoft maakte de Exchange-aanvallen in maart 2021 openbaar en introduceerde fixes voor vier zero-day kwetsbaarheden. Eén daarvan staat bekend als ProxyLogon.
Microsoft koppelde de aanvallen aan HAFNIUM en beschreef het als een met een staat verbonden groep die vanuit China zou opereren. Later is die activiteit door Microsoft ook gevolgd onder de naam Silk Typhoon.
Daarna rapporteerde de FBI dat de HAFNIUM-campagne als geheel meer dan 12.700 organisaties in de Verenigde Staten heeft gecompromitteerd. Dat illustreert hoe wijdverspreid de gevolgen waren toen Exchange-servers kwetsbaar waren en patches niet snel genoeg werden toegepast.
Dubbele aanvalsgolf volgens de aanklacht
De indictment beschrijft twee sets van intrusies. De eerste zou zich in begin 2020 hebben gericht op Amerikaanse universiteiten en onderzoekers die betrokken waren bij COVID-19 vaccins, behandelingen en tests. De tweede groep zou, vanaf eind 2020, gebruik hebben gemaakt van Exchange-kwetsbaarheden in de campagne die later HAFNIUM werd genoemd.
Op of rond 30 januari 2021 zou Xu aan Zhang hebben doorgegeven dat hij een netwerk van een universiteit in Texas had gecompromitteerd. Als vermeende slachtoffers worden in de aanklacht twee Texas-universiteiten en een internationaal advocatenkantoor met een kantoor in Washington, D.C. genoemd.
Waarom dit incident nog steeds relevant is voor organisaties
Ook al dateren de kernfeiten van 2020 en 2021, de gevolgen van HAFNIUM blijven voelbaar. Dat komt omdat Exchange-inbreuken vaak niet eindigen bij alleen die eerste toegang. Aanvallers kunnen later extra systemen aantasten, persistente toegang opbouwen of lateraal bewegen in netwerken.
Daarnaast tonen beloningen en vervolgingstrajecten aan dat staatsgebaseerde aanvallen een lange adem hebben. Security teams moeten daarom niet alleen focussen op “nu het is gepatcht”, maar ook op: monitoring, detectie van misbruik en incidentrespons.
Wil je meer weten over de bredere lessen rond Microsoft-gerelateerde intrusies en hoe aanvallers zich door omgevingen bewegen? Lees dan ook eens hoe authenticated attackers volgens eerdere berichtgeving Microsoft Exchange-mailboxen konden benaderen: Bron: https://thehackernews.com/2026/10/us-offers-up-to-10-million-for-tips-on.html
