O Departamento de Estado dos Estados Unidos colocou preço na cabeça de um dos acusados pelo Hafnium, a campanha que invadiu servidores de e-mail Microsoft Exchange no mundo inteiro em 2021. O programa Rewards for Justice paga até US$ 10 milhões, cerca de R$ 49 milhões, por informação que leve à identificação ou à localização de Zhang Yu, cidadão chinês que segue foragido.
De acordo com a ficha publicada pelo governo americano, Zhang é diretor da Shanghai Firetech Information Science and Technology e agiria sob ordens do Escritório de Segurança do Estado de Xangai, braço regional do Ministério da Segurança do Estado da China. A acusação diz que, a partir do começo de 2020, ele e o parceiro Xu Zewei entraram em redes de universidades americanas e de imunologistas e virologistas para roubar pesquisas sobre a Covid-19.
Cartaz oficial da recompensa. Imagem: Departamento de Estado dos EUA/Rewards for Justice
No ano seguinte veio o ataque ao Exchange Server, a versão do servidor de e-mail que empresas e órgãos públicos instalam nas próprias máquinas. Explorando falhas que ainda não tinham correção, o grupo conseguia rodar código nos servidores sem senha e deixar portas de entrada para voltar depois. Milhares de computadores foram comprometidos; entre as vítimas citadas pelos EUA estão uma universidade e um escritório de advocacia americanos. A Microsoft atribuiu a campanha a um grupo operando a partir da China, e Pequim nega envolvimento.
Xu já responde à Justiça americana: a polícia italiana o prendeu em julho de 2025, e a extradição saiu em abril deste ano. O processo corre em um tribunal federal de Houston, no Texas, com nove acusações, entre elas conspiração para fraude eletrônica, dano a computadores e roubo de identidade. Para o governo americano, o caso mostra a China usando empresas privadas como fachada para espionagem.
O Hafnium foi um dos motivos que empurraram muitas empresas a abandonar o servidor próprio e migrar o e-mail para a nuvem, no Exchange Online do Microsoft 365, onde as correções chegam sem depender do time de TI. Para contas pessoais, uma chave física como a Yubico Security Key barra o login mesmo quando a senha vaza. Quem souber do paradeiro de Zhang pode avisar o FBI ou falar direto com o Rewards for Justice, que recebe pistas por Signal, Telegram e Tor.
Oferta · Amazon Microsoft 365 Family com Copilot, 6 usuários, 12 meses Ver oferta → 
Oferta · Amazon Yubico Security Key C NFC, chave física FIDO2 para login em dois fatores Ver oferta → 
Oferta · Amazon Yubico YubiKey 5C NFC, USB-C e NFC Ver oferta →
