Bộ Ngoại giao Hoa Kỳ đang treo thưởng lên tới 10 triệu USD cho thông tin dẫn đến việc xác định danh tính hoặc vị trí của Zhang Yu, một công dân Trung Quốc bị buộc tội tại Hoa Kỳ liên quan đến các vụ tấn công Microsoft Exchange Server năm 2021 được gọi là HAFNIUM.
Phần thưởng này dành cho thông tin giúp xác định danh tính hoặc vị trí của đối tượng, theo tin từ hãng tin NTD tuần này, trích dẫn thông báo từ chương trình Rewards for Justice của Bộ Ngoại giao.
Các nhà chức trách Hoa Kỳ cho biết Zhang hiện vẫn đang bỏ trốn, nghĩa là đối tượng chưa bị bắt giữ. Các cáo buộc chống lại Zhang vẫn chưa được đưa ra đối chứng tại tòa án.
Rewards for Justice là chương trình phần thưởng an ninh quốc gia của Bộ Ngoại giao. Chương trình này cho biết đã chi trả hơn 250 triệu USD cho hơn 125 người kể từ năm 1984.
Zhang bị truy nã vì vai trò bị cáo buộc trong "các hoạt động mạng độc hại chống lại cơ sở hạ tầng quan trọng của Hoa Kỳ," NTD dẫn lời thông báo cho biết.
Số tiền và nội dung này khớp với một đề nghị mà chương trình đã đưa ra vào tháng 1 năm 2025. Đề nghị đó dành cho thông tin về bất kỳ ai thực hiện hành vi tấn công cơ sở hạ tầng quan trọng của Hoa Kỳ theo chỉ đạo của một chính phủ nước ngoài.
Zhang và một người đàn ông thứ hai, Xu Zewei, cùng bị buộc tội tại tòa án liên bang ở Houston. Bản cáo trạng, tài liệu nêu rõ các tội danh, bao gồm chín tội danh.
Tài liệu này có từ tháng 11 năm 2023 và được công bố rộng rãi vào tháng 7 năm 2025. Kể từ đó, Bộ Tư pháp đã kêu gọi công chúng cung cấp thông tin về nơi ẩn náu của Zhang.
Các vụ tấn công mạng bị cáo buộc diễn ra trong khoảng thời gian từ tháng 2 năm 2020 đến tháng 6 năm 2021.
Xu đã bị bắt tại Milan vào tháng 7 năm 2025 theo yêu cầu của Hoa Kỳ, và Ý đã dẫn độ đối tượng này sang Hoa Kỳ vào tháng 4 năm 2026.
Brett Leatherman, Phó Giám đốc Ban An ninh mạng của FBI, cho biết vào thời điểm đó rằng Xu "là một trong nhiều nhà thầu mà chính phủ Trung Quốc sử dụng để che giấu bàn tay của mình trong các hoạt động mạng, và những người khác làm điều tương tự cũng sẽ đối mặt với rủi ro tương tự."
Zhang Yu bị cáo buộc những gì?
Các nhà chức trách Hoa Kỳ mô tả Zhang là giám đốc tại Shanghai Firetech Information Science and Technology, một công ty có trụ sở tại Thượng Hải.
Theo bản cáo trạng, đối tượng đã làm việc theo các nhiệm vụ được giao bởi Cục An ninh Nhà nước Thượng Hải, giám sát việc tấn công mạng của các nhân viên Firetech khác và phối hợp thực hiện với Xu. Cục này là một chi nhánh của Bộ An ninh Quốc gia Trung Quốc (MSS), một cơ quan tình báo.
Xu bị cáo buộc làm việc cho một công ty Thượng Hải thứ hai, Shanghai Powerock Network. Bộ Tư pháp gọi Powerock là một trong nhiều công ty "tiếp tay" thực hiện tấn công mạng cho chính phủ Trung Quốc, và cho biết Trung Quốc sử dụng các công ty tư nhân và nhà thầu để che giấu vai trò của mình.
Bản cáo trạng cáo buộc hai nhóm xâm nhập. Nhóm thứ nhất, vào đầu năm 2020, nhắm vào các trường đại học và nhà khoa học Hoa Kỳ đang nghiên cứu vaccine, phương pháp điều trị và xét nghiệm COVID-19. Nhóm thứ hai, từ cuối năm 2020, đã khai thác các lỗ hổng trong Microsoft Exchange Server trong chiến dịch sau này được gọi là HAFNIUM.
Vào khoảng ngày 30 tháng 1 năm 2021, Xu bị cáo buộc đã nói với Zhang rằng mình đã xâm nhập thành công mạng lưới của một trường đại học ở Texas.
Các nạn nhân bị cáo buộc bao gồm hai trường đại học ở Texas và một công ty luật quốc tế có văn phòng tại Washington, D.C.
Chiến dịch HAFNIUM
Microsoft đã tiết lộ các vụ tấn công Exchange vào ngày 2 tháng 3 năm 2021 và phát hành bản vá cho bốn lỗ hổng Zero-Day, bao gồm lỗ hổng được gọi là ProxyLogon.
Công ty đã đổ lỗi cho HAFNIUM, nhóm mà họ đánh giá là "do nhà nước bảo trợ và hoạt động từ Trung Quốc." Microsoft hiện theo dõi nhóm này với tên gọi Silk Typhoon.
Chỉ trong vài ngày, Microsoft đã chứng kiến các nhóm tin tặc khác sử dụng cùng các lỗ hổng này.
FBI cho biết toàn bộ chiến dịch HAFNIUM đã làm tổn hại hơn 12.700 tổ chức tại Hoa Kỳ.
Vào tháng 7 năm 2021, Hoa Kỳ và các chính phủ đối tác cho biết các hacker có liên quan đến MSS đã thực hiện chiến dịch này. Báo cáo năm 2021 của Microsoft đã nêu tên một nhóm và một quốc gia. Tên của Xu Zewei và Zhang Yu xuất hiện từ bản cáo trạng của Hoa Kỳ.
