El Departamento de Estado de los EE. UU. ofrece hasta 10 millones de dólares por información sobre Zhang Yu, un ciudadano chino acusado de ayudar a hackers a atacar investigaciones estadounidenses sobre el COVID-19. El aviso de Rewards for Justice busca detalles sobre Zhang, sus asociados y sus actividades cibernéticas maliciosas, con posibles recompensas y reubicación para las fuentes aptas.

Las autoridades estadounidenses alegan que Zhang trabajó en nombre de la Oficina de Seguridad del Estado de Shanghái, parte del Ministerio de Seguridad del Estado de China. La División Cibernética del FBI destacó la recompensa al señalar el caso contra su presunto socio, Xu Zewei, quien se encuentra actualmente bajo custodia estadounidense.

Buzones de investigación atacados

Según el resumen del caso del Departamento de Justicia, las presuntas intrusiones ocurrieron desde febrero de 2020 hasta junio de 2021. Los primeros objetivos incluyeron universidades estadounidenses, inmunólogos y virólogos que trabajaban en vacunas, tratamientos y pruebas contra el COVID-19. Los investigadores afirman que agentes de inteligencia dirigieron el hackeo y recibieron informes sobre sus avances.

Los documentos judiciales describen una secuencia clara. Alrededor del 19 de febrero de 2020, Xu presuntamente le dijo a un oficial de la Oficina de Seguridad del Estado de Shanghái que había vulnerado una universidad de investigación en el Distrito Sur de Texas. Tres días después, el oficial le ordenó acceder a buzones específicos pertenecientes a investigadores que estudiaban el COVID-19.

Xu informó posteriormente que había obtenido el contenido de esos buzones, según los fiscales. Esta distinción es importante: el caso describe un presunto robo de datos, no simplemente intentos fallidos de acceder a los sistemas de investigación. Sin embargo, el resumen público no identifica la universidad ni detalla cada documento sustraído.

La investigación también vincula a Zhang y Xu con la campaña de hackeo de servidores Microsoft Exchange de HAFNIUM. A partir de finales de 2020, alegan los fiscales, el grupo explotó vulnerabilidades de Exchange para irrumpir en los sistemas de correo electrónico. Microsoft reveló públicamente la campaña en marzo de 2021, lo que provocó la creación de parches, herramientas de detección y guías gubernamentales.

Tras ganar acceso, los hackers presuntamente instalaron web shells, scripts que permiten a los atacantes controlar un servidor de forma remota. Dicho acceso les permitió buscar y robar datos de los buzones. En un bufete de abogados objetivo, los investigadores dicen que los atacantes buscaron términos como “fuentes chinas”, “MSS” y “HongKong”.

El FBI afirma que la campaña más amplia de HAFNIUM comprometió a más de 12.700 organizaciones estadounidenses. Esa cifra describe la campaña general, no un recuento confirmado de víctimas de investigación del COVID-19 u organizaciones vulneradas personalmente por Zhang.

Las autoridades italianas arrestaron a Xu en Milán el 3 de julio de 2025, a petición de Washington. Fue extraditado el 25 de abril de 2026 y compareció ante un tribunal federal en Houston el 27 de abril. Zhang sigue siendo buscado. Ambos enfrentan acusaciones en una imputación de nueve cargos; los cargos no son prueba de culpabilidad.

Anteriormente se examinaron las empresas chinas vinculadas a Xu y Zhang y sus patentes para herramientas de recolección de datos. Ese informe identificó a Shanghai Powerock como el empleador de Xu y a Shanghai Firetech como el de Zhang, añadiendo contexto a la presunta red de contratistas detrás de estas operaciones. Los hallazgos de las patentes no establecen qué herramientas se utilizaron en estas intrusiones.

El Departamento de Justicia afirma que China utiliza empresas privadas para ocultar su papel en el hackeo, mientras que las brechas resultantes pueden dejar los sistemas abiertos a nuevos ataques de actores de amenazas no relacionados y motivados por el lucro.

Rewards for Justice remite a las fuentes a su canal oficial de denuncias basado en Tor para proporcionar información sobre actividades cibernéticas respaldadas por estados extranjeros. Su guía indica que las fuentes aptas pueden recibir apoyo para la reubicación y pagos en criptomonedas.