Hafnium-hacker Zhang Yu: VS looft 10 miljoen dollar uit

Het Amerikaanse ministerie van Buitenlandse Zaken heeft een beloning van 10 miljoen dollar uitgeloofd voor Zhang Yu, een Chinees die volgens Amerikaanse functionarissen een centrale rol speelde in de hackcampagne Hafnium. De beloning geldt voor informatie over zijn verblijfplaats.

Volgens Amerikaanse functionarissen is Zhang directeur van Shanghai Firetech Information Science and Technology en handelde hij in opdracht van de Chinese overheid. Bij de campagne die hij zou hebben ondersteund, werden duizenden computers gecompromitteerd en grote hoeveelheden documenten en e-mails buitgemaakt.

COVID-19-onderzoek in het vizier

Volgens functionarissen werkte Zhang samen met Xu Zewei, een andere Chinees die in deze zaak is aangeklaagd. Het tweetal wordt ervan beschuldigd COVID-19-onderzoek te hebben gestolen van Amerikaanse universiteiten, immunologen en virologen.

Het ministerie van Buitenlandse Zaken stelt dat Zhang met zijn cyberaanvallen de Computer Fraud and Abuse Act (CFAA) heeft overtreden, de belangrijkste federale antihackwet van de VS. Onder de doelwitten waren ten minste een universiteit en een advocatenkantoor.

Na hun aanklacht liepen de wegen van de twee mannen sterk uiteen. Zhang is nog altijd voortvluchtig. Xu werd in juli 2025 door de Italiaanse autoriteiten gearresteerd toen hij op vakantie was in Milaan, en in april werd hij uitgeleverd aan de Verenigde Staten.

Een aanklacht op negen punten

Het Amerikaanse ministerie van Justitie maakte vorig jaar een aanklacht op negen punten tegen beide mannen openbaar. Daarin worden ze ervan beschuldigd betrokken te zijn geweest bij "computerinbraken tussen februari 2020 en juni 2021, waaronder de ongerichte HAFNIUM-inbraakcampagne waarbij wereldwijd duizenden computers werden gecompromitteerd, ook in de Verenigde Staten."

Volgens de aanklagers kwam de opdracht voor het hacken van twee Chinese inlichtingendiensten: het Ministerie van Staatsveiligheid (MSS), de belangrijkste civiele inlichtingen- en veiligheidsdienst van China, en de regionale afdeling daarvan, het Shanghai State Security Bureau (SSSB).

De verdachten zouden verantwoording hebben afgelegd aan leidinggevende officieren bij het SSSB. In één geval bevestigde Xu volgens de aanklagers dat hij "het netwerk van een onderzoeksuniversiteit in het Southern District of Texas had gecompromitteerd." Het Southern District of Texas is een federaal gerechtelijk district waar onder meer Houston onder valt.

De omvang van Hafnium

Amerikaanse functionarissen hebben verklaard dat de campagne zeer omvangrijk was. Brett Leatherman, adjunct-directeur van de cyberafdeling van de FBI, gaf vorig jaar cijfers over het bereik ervan.

"Via HAFNIUM richtte de CCP zich op meer dan 60.000 Amerikaanse entiteiten, waarvan er meer dan 12.700 daadwerkelijk slachtoffer werden, met als doel gevoelige informatie te stelen," aldus Leatherman.

CCP staat voor de Chinese Communistische Partij. Amerikaanse functionarissen gebruiken die term vaak wanneer ze door de staat gesteunde operaties aan Beijing toeschrijven.

Waarom de beloning ertoe doet

Een beloning van 10 miljoen dollar is een van de hoogste standaardbedragen die het ministerie van Buitenlandse Zaken uitlooft. Het laat zien dat Washington Zhang als een belangrijk doelwit beschouwt, ook al is er geen realistische manier om hem te arresteren zolang hij in China blijft.

De beloning zegt ook iets over hoe de VS door de staat gesteunde hackers aanpakken. Aanklachten tegen Chinese inlichtingenagenten leiden zelden tot een proces, omdat de verdachten maar zelden landen verlaten die hen niet uitleveren. De zaak van Xu is de uitzondering. Hij werd opgepakt tijdens een reis in Italië en belandde uiteindelijk in een Amerikaanse rechtszaal. Vergelijkbare arrestaties tijdens reizen kwamen ook elders voor, zoals bij een Iraanse hacker die werd uitgeleverd door Montenegro en een verdachte van Qilin-ransomware die in Japan werd opgepakt en vervolgens naar Duitsland werd overgebracht.

Onze analyse

Deze beloning past in een bekend patroon. Als de VS een verdachte niet rechtstreeks kunnen bereiken, zetten ze openbare aanklachten, met naam genoemde bedrijven en hoge beloningen in om het leven zuur te maken van mensen die ze ervan beschuldigen voor buitenlandse inlichtingendiensten te werken. Het doel lijkt eerder druk te zijn dan een arrestatie op korte termijn. Elke reis naar het buitenland wordt een risico, en iedereen in de omgeving van de verdachte krijgt een reden om zich te melden.

Twee details springen eruit. Ten eerste wordt Zhang in verband gebracht met een met naam genoemd privébedrijf, Shanghai Firetech. Dat wijst erop dat de Amerikaanse autoriteiten zich blijven richten op het netwerk van contractanten dat werk voor de Chinese inlichtingendiensten zou uitvoeren, en niet alleen op overheidsfunctionarissen. Ten tweede herinneren de doelwitten in deze zaak, universiteiten, onderzoekers en een advocatenkantoor, eraan dat netwerken in de academische wereld en de zakelijke dienstverlening aantrekkelijk blijven voor door de staat gesteunde groepen. Dat geldt vooral wanneer ze onderzoek van strategische waarde bevatten. Lezers in die sectoren moeten er niet van uitgaan dat ze buiten het dreigingsmodel van aan China gelinkte spionageoperaties vallen.

Het is de moeite waard om te volgen hoe de vervolging van Xu verloopt nu hij in Amerikaanse hechtenis zit. Processtukken in zijn zaak kunnen meer onthullen over hoe de Hafnium-operatie werd aangestuurd en uitgevoerd. Ook valt nog te bezien of de beloning bruikbare aanwijzingen over Zhang oplevert, of dat ze vooral dient als publieke toeschrijving.