Das Programm „Rewards for Justice“ des US-Außenministeriums bietet eine Belohnung von bis zu 10 Millionen US-Dollar für Informationen über Zhang Yu. Dieser chinesische Staatsbürger wird in den Vereinigten Staaten wegen seiner angeblichen Rolle bei den Angriffen auf Microsoft Exchange-Server im Jahr 2021 angeklagt. Eine Kampagne namens Hafnium.

Welches Profil hat die gesuchte Person?

Der 44-jährige Zhang Yu wird von den amerikanischen Behörden als Direktor von Shanghai Firetech Information Science and Technology, einem privaten Unternehmen, vorgestellt.

Der Anklageschrift zufolge ist Zhang Yu ein Agent, der für das Shanghai State Security Bureau, eine Zweigstelle des chinesischen Ministeriums für Staatssicherheit, arbeitet.

Die Vereinigten Staaten behaupten, dass China für die Durchführung seiner Cyberspionageoperationen ein riesiges Netzwerk privater Unternehmen und Auftragnehmer nutzt. Diese Methode würde es der chinesischen Regierung ermöglichen, ihre direkte Beteiligung zu verbergen.

Welche Cyberangriffe werden ihm vorgeworfen?

Es wird angenommen, dass die gesuchte Person an zwei verschiedenen Einbruchswellen zwischen Februar 2020 und Juni 2021 beteiligt war.

Anfang 2020 richteten sich die ersten gezielten Angriffe auf amerikanische Universitäten und Wissenschaftler, die an der COVID-19-Forschung arbeiteten. Ziel war es, Forschungsdaten zugunsten Chinas zu stehlen.

Die zweite Welle entspricht der Hafnium-Kampagne. Ab Ende 2020 nutzten Angreifer vier Zero-Day-Schwachstellen in Microsoft Exchange Server aus.

Microsoft hat diese Angriffe im März 2021 aufgedeckt und sie einer von China aus operierenden Gruppe zugeschrieben. Insgesamt geht man davon aus, dass die Hafnium-Kampagne mehr als 12.700 US-Organisationen kompromittiert hat sensible Daten herauszufiltern.

Bald vor der amerikanischen Justiz?

Zhang Yu ist derzeit auf der Flucht und befindet sich höchstwahrscheinlich in China. Das Kopfgeld in Höhe von 10 Millionen US-Dollar soll in erster Linie seine Reisen erschweren und jede Auslandsreise äußerst riskant machen.

Sein mutmaßlicher Komplize Xu Zewei musste dies bitter erleben. Er wurde im Juli 2025 im Urlaub in Mailand festgenommen, bevor er im April 2026 an die USA ausgeliefert wurde. Er bekannte sich nicht schuldig.