Hafnium: EE. UU. ofrece 10 millones por el hacker Zhang Yu
El Departamento de Estado de EE. UU. ha puesto precio a la cabeza de Zhang Yu: 10 millones de dólares. Las autoridades estadounidenses señalan a este ciudadano chino como una figura central de la campaña de hacking Hafnium. La recompensa se ofrece a cambio de información sobre su paradero.
Según fuentes oficiales estadounidenses, Zhang es el director de Shanghai Firetech Information Science and Technology y actuaba por cuenta del Gobierno chino. La campaña a la que supuestamente dio apoyo comprometió miles de ordenadores y permitió robar grandes volúmenes de documentos y correos electrónicos.
La investigación sobre la COVID-19, en el punto de mira
Las autoridades sostienen que Zhang trabajó con Xu Zewei, otro ciudadano chino acusado en la misma causa. A ambos se les acusa de robar investigaciones sobre la COVID-19 a universidades, inmunólogos y virólogos de EE. UU.
El Departamento de Estado afirmó que los ciberataques de Zhang vulneraron la Computer Fraud and Abuse Act (CFAA), la principal ley federal estadounidense contra la intrusión informática. Entre los objetivos figuraban al menos una universidad y un bufete de abogados.
Tras la acusación, los dos hombres siguieron caminos muy distintos. Zhang sigue en libertad. Xu fue detenido por las autoridades italianas en julio de 2025 mientras estaba de vacaciones en Milan, y fue extraditado a Estados Unidos en abril.
Una acusación con nueve cargos
El Departamento de Justicia de EE. UU. hizo pública el año pasado una acusación formal con nueve cargos contra ambos. En ella se les acusa de participar en "intrusiones informáticas entre febrero de 2020 y junio de 2021, incluida la indiscriminada campaña de intrusión informática HAFNIUM, que comprometió miles de ordenadores en todo el mundo, también en Estados Unidos".
Según la fiscalía, los ataques fueron ordenados por dos organismos de inteligencia chinos: el Ministerio de Seguridad del Estado (MSS), la principal agencia civil de inteligencia y seguridad de China, y su delegación regional, la Oficina de Seguridad del Estado de Shanghái (SSSB).
Los acusados rendían cuentas, presuntamente, a agentes supervisores de la SSSB. En un caso, según la fiscalía, Xu confirmó que "había comprometido la red de una universidad de investigación situada en el Distrito Sur de Texas". El Distrito Sur de Texas es un distrito judicial federal que incluye Houston.
La magnitud de Hafnium
Las autoridades estadounidenses han dicho que la campaña fue enorme. El año pasado, Brett Leatherman, director adjunto de la división cibernética del FBI, dio cifras sobre su alcance.
"A través de HAFNIUM, el PCCh atacó a más de 60.000 entidades estadounidenses y consiguió vulnerar a más de 12.700 para robar información sensible", afirmó Leatherman.
El PCCh es el Partido Comunista Chino. Las autoridades estadounidenses suelen emplear este término cuando atribuyen a Pekín operaciones respaldadas por el Estado.
Por qué importa la recompensa
Una recompensa de 10 millones de dólares es una de las ofertas estándar más altas del Departamento de Estado. Deja claro que Washington considera a Zhang un objetivo de alto valor, aunque no haya ninguna posibilidad realista de detenerlo mientras siga en China.
La recompensa también dice algo sobre cómo persigue EE. UU. a los hackers respaldados por Estados. Las acusaciones contra agentes de inteligencia chinos rara vez acaban en juicio, porque los sospechosos casi nunca salen de países que no los van a entregar. El caso de Xu es la excepción. Lo detuvieron mientras viajaba por Italia y terminó ante un tribunal estadounidense. Ha habido detenciones similares relacionadas con viajes en otros lugares, como en el caso de un hacker iraní extraditado desde Montenegro y de un sospechoso del ransomware Qilin detenido en Japón y enviado después a Alemania.
Nuestro análisis
Esta recompensa encaja en un patrón conocido. Cuando EE. UU. no puede llegar directamente a un sospechoso, recurre a acusaciones públicas, a señalar empresas con nombre y apellidos y a grandes recompensas para complicar la vida a quienes acusa de trabajar para servicios de inteligencia extranjeros. El objetivo parece ser más la presión que una detención a corto plazo. Cada viaje al extranjero se convierte en un riesgo, y cualquiera del entorno del sospechoso recibe un motivo para dar un paso al frente.
Hay dos detalles que llaman la atención. Primero, Zhang está vinculado a una empresa privada concreta, Shanghai Firetech. Esto indica que las autoridades estadounidenses siguen centrándose en el ecosistema de contratistas que, presuntamente, trabaja para la inteligencia china, y no solo en funcionarios del Gobierno. Segundo, los objetivos citados en la causa, universidades, investigadores y un bufete de abogados, recuerdan que las redes académicas y de servicios profesionales siguen siendo atractivas para los grupos respaldados por Estados. Sobre todo cuando guardan investigaciones de valor estratégico. Los lectores de esos sectores no deberían dar por hecho que quedan fuera del modelo de amenazas de las operaciones de espionaje vinculadas a China.
Merece la pena seguir de cerca cómo avanza el proceso contra Xu ahora que está bajo custodia estadounidense. Los documentos judiciales de su caso podrían revelar más sobre cómo se encargaba y se dirigía la operación Hafnium. También está por ver si la recompensa aporta alguna pista útil sobre Zhang o si sirve sobre todo como una declaración pública de atribución.