Hafnium : 10 millions de dollars pour le hacker Zhang Yu

Le département d'Etat américain a mis à prix la tête de Zhang Yu pour 10 millions de dollars. Ce ressortissant chinois est présenté par les autorités américaines comme une figure centrale de la campagne de piratage Hafnium. La récompense vise toute information permettant de le localiser.

Selon les autorités américaines, Zhang dirige la société Shanghai Firetech Information Science and Technology et agissait pour le compte du gouvernement chinois. La campagne qu'il est accusé d'avoir soutenue a compromis des milliers d'ordinateurs et a permis le vol de grandes quantités de documents et d'e-mails.

La recherche sur le COVID-19 dans le viseur

D'après les autorités, Zhang a travaillé avec Xu Zewei, un autre ressortissant chinois poursuivi dans le même dossier. Les deux hommes sont accusés d'avoir dérobé des travaux de recherche sur le COVID-19 à des universités, des immunologistes et des virologues américains.

Le département d'Etat estime que les cyberattaques de Zhang ont enfreint le Computer Fraud and Abuse Act (CFAA), la principale loi fédérale américaine contre le piratage informatique. Au moins une université et un cabinet d'avocats figuraient parmi les cibles.

Après leur inculpation, les deux hommes ont connu des sorts très différents. Zhang court toujours. Xu, lui, a été arrêté par les autorités italiennes en juillet 2025 alors qu'il était en vacances à Milan, puis extradé vers les Etats-Unis en avril.

Un acte d'accusation en neuf chefs

Le département de la Justice américain a rendu public l'an dernier un acte d'accusation comportant neuf chefs contre les deux hommes. Il leur reproche d'avoir participé à des "intrusions informatiques entre février 2020 et juin 2021, dont la campagne d'intrusion HAFNIUM, menée sans discernement, qui a compromis des milliers d'ordinateurs dans le monde, y compris aux Etats-Unis".

Selon le parquet, le piratage a été commandité par deux services de renseignement chinois : le ministère de la Sécurité d'Etat (MSS), principale agence civile de renseignement et de sécurité du pays, et sa branche régionale, le Bureau de la sécurité d'Etat de Shanghai (SSSB).

Les accusés auraient rendu compte à des officiers traitants du SSSB. Dans un cas, selon l'accusation, Xu a confirmé qu'il "avait compromis le réseau d'une université de recherche située dans le district sud du Texas". Le district sud du Texas est une circonscription judiciaire fédérale qui comprend Houston.

L'ampleur de Hafnium

Les autorités américaines ont décrit une campagne de très grande ampleur. L'an dernier, Brett Leatherman, directeur adjoint de la division cyber du FBI, en a donné la mesure en chiffres.

"Avec HAFNIUM, le PCC a ciblé plus de 60 000 entités américaines et en a compromis plus de 12 700 afin de dérober des informations sensibles", a déclaré Leatherman.

Le PCC désigne le Parti communiste chinois. Les responsables américains emploient souvent ce terme lorsqu'ils attribuent à Pékin des opérations soutenues par l'Etat.

Pourquoi cette récompense compte

Une prime de 10 millions de dollars fait partie des offres standard les plus élevées du département d'Etat. Elle montre que Washington considère Zhang comme une cible de premier plan, même s'il n'existe aucun moyen réaliste de l'arrêter tant qu'il reste en Chine.

La récompense en dit aussi long sur la façon dont les Etats-Unis traquent les hackers soutenus par des Etats. Les inculpations visant des agents du renseignement chinois débouchent rarement sur un procès, car les suspects quittent rarement des pays qui refusent de les livrer. Le cas de Xu fait figure d'exception. Il a été interpellé lors d'un voyage en Italie et s'est retrouvé devant un tribunal américain. Des arrestations similaires lors de déplacements ont eu lieu ailleurs, comme dans le cas d'un hacker iranien extradé depuis le Monténégro ou d'un suspect lié au rançongiciel Qilin arrêté au Japon puis remis à l'Allemagne.

Notre analyse

Cette récompense s'inscrit dans un schéma bien connu. Quand les Etats-Unis ne peuvent pas atteindre directement un suspect, ils recourent aux inculpations publiques, à la désignation nominative d'entreprises et à des primes importantes pour compliquer la vie de ceux qu'ils accusent de travailler pour des services de renseignement étrangers. L'objectif semble être de mettre la pression plutôt que d'obtenir une arrestation à court terme. Chaque voyage à l'étranger devient un risque, et l'entourage du suspect se voit offrir une raison de parler.

Deux détails retiennent l'attention. D'abord, Zhang est rattaché à une entreprise privée nommément citée, Shanghai Firetech. Cela laisse penser que les autorités américaines continuent de cibler l'écosystème de sous-traitants qui travaillerait pour le renseignement chinois, et pas seulement les agents de l'Etat. Ensuite, les cibles mentionnées dans le dossier - universités, chercheurs et un cabinet d'avocats - rappellent que les réseaux du monde académique et des services professionnels restent attrayants pour les groupes soutenus par des Etats. C'est d'autant plus vrai lorsqu'ils détiennent des recherches à valeur stratégique. Les lecteurs de ces secteurs ne devraient pas se croire hors du champ des opérations d'espionnage liées à la Chine.

Il faudra suivre l'évolution des poursuites contre Xu, désormais détenu aux Etats-Unis. Les documents déposés devant le tribunal dans son affaire pourraient en révéler davantage sur la manière dont l'opération Hafnium a été commanditée et menée. Reste aussi à savoir si la récompense permettra d'obtenir des pistes utiles sur Zhang, ou si elle sert surtout d'attribution publique.