米国務省、中国籍の男に最大1000万ドルの懸賞金

米国務省は、HAFNIUMによるMicrosoft Exchange Serverへのハッキングキャンペーンに関与したとして起訴された中国国籍のZhang Yu氏について、身元や居場所につながる情報に対して最大1000万ドルの懸賞金を提供している。dailysecu.comが伝えた。

Zhang Yu氏は、新型コロナウイルスを研究する米国の大学を標的にした侵入や、Exchange Serverの脆弱性を悪用した攻撃で起訴されているが、逮捕されていない。米国の検察当局は同氏を、中国のMinistry of State Securityの下にあるShanghai State Security Bureauの指示の下で行動していた上海市のFiretechの取締役と特定している。

Xu Zewei氏は、Zhang Yu氏と攻撃を調整したとされ、攻撃当時はShanghai Powerock Networkに勤務していた。同氏は2025年7月に米国の要請によりイタリアのミラノで逮捕され、2026年4月に米国へ引き渡されて、ヒューストンの連邦裁判所に出廷した。

Zhang Yu氏とXu Zewei氏を名指しした9件の罪状からなる起訴状は2023年11月に作成され、2025年7月に封印を解かれた。

2021年のHAFNIUM攻撃

マイクロソフトは2021年にHAFNIUMのキャンペーンを公表し、2021年3月2日にExchange Serverの4つの脆弱性に対するセキュリティ更新をリリースした。マイクロソフトはHAFNIUMの攻撃を、現在Silk Typhoonとして追跡されている中国拠点の国家支援ハッキンググループによるものとしている。公表された脆弱性はオンプレミスのExchange Serverに影響し、クラウドサービスのExchange Onlineは影響を受けなかった。FBIによると、HAFNIUMのキャンペーンにより1万2700以上の米国の組織が侵害された。2021年4月、FBIは米国内の数百台のサーバーから特定のウェブシェルを複製して削除する裁判所の許可を得た。