$10 млн за одного хакера. США объявили охоту на организатора масштабной кампании Hafnium

США готовы заплатить до $10 млн за сведения о китайском хакере Чжан Юе, которого связывают с масштабной кампанией Hafnium. Во время атак злоумышленники проникли в тысячи компьютерных систем и похитили переписку. Сам подозреваемый до сих пор находится на свободе.

Вознаграждение назначил Госдепартамент США в рамках программы Rewards for Justice. Чжан Юй занимает пост директора в Shanghai Firetech Information Science and Technology. По версии американских властей, хакер работал по заданиям Шанхайского управления государственной безопасности, входящего в структуру Министерства государственной безопасности Китая.

Следствие относит начало совместных действий Чжана и другого китайского специалиста, Сюй Цзэвэя, к 2020 году. Целями стали американские университеты и исследователи коронавируса. Злоумышленников интересовали результаты работы над вакцинами, методами лечения и тестами на COVID-19. В одном из университетов, по версии прокуратуры, хакеры добрались до почтовых ящиков вирусологов.

Позднее атаки переключились на корпоративную почту. Участники Hafnium использовали четыре ранее неизвестные уязвимости в Microsoft Exchange, получали доступ к серверам и устанавливали веб-оболочки для удалённого управления. Так хакеры читали и похищали письма. Microsoft выпустила экстренные исправления в марте 2021 года.

О масштабе кампании ФБР рассказало в 2025 году. По оценке ведомства, злоумышленники нацелились более чем на 60 тысяч американских организаций, причём свыше 12 700 действительно пострадали. Цифры относятся ко всей кампании Hafnium, а не к доказанным личным действиям Чжана. За пределами США также оказались скомпрометированы тысячи компьютеров.

Среди пострадавших, перечисленных американским Минюстом, были университет в Техасе и международная юридическая фирма с офисом в Вашингтоне. Из почты юристов злоумышленники искали сведения об американских политиках и государственных ведомствах по заданным ключевым словам. В материалах дела также упоминается сообщение Сюя Чжану об успешном взломе университетской сети в январе 2021 года.

Обоим фигурантам предъявили обвинения по девяти пунктам, включая взломы, мошенничество и хищение личных данных. Сюя задержали в Милане в июле 2025 года, когда тот находился в Италии, а в апреле 2026-го экстрадировали в США. Чжан Юй остаётся в розыске. Обвинения пока не равнозначны доказанной вине.

В объявлении о награде американские власти уточнили, что готовы заплатить до $10 млн за информацию, которая поможет установить местонахождение Чжана или других причастных к кибератакам, совершённым по поручению иностранного государства. Размер выплаты зависит от ценности полученных сведений.

Последствия Hafnium пришлось устранять даже после выпуска обновлений. Весной 2021 года ФБР получило разрешение суда и удалило веб-оболочки с сотен взломанных серверов Exchange в США. О той операции позднее напоминали при описании других действий бюро против вредоносного ПО. Уголовное дело о массовых взломах остаётся открытым.