미 국무부, HAFNIUM 해킹 피의자 정보에 1000만 달러 현상금

미 국무부가 마이크로소프트 Exchange Server 해킹 캠페인과 관련해 기소된 중국 국적자 Zhang Yu의 신원이나 소재를 확인할 수 있는 정보에 최대 1000만 달러의 현상금을 내걸었다. Zhang Yu는 아직 체포되지 않은 상태다.

미 검찰은 Zhang Yu를 중국 국가안전부 산하 상하이시 국가안전국(Shanghai State Security Bureau)의 지시를 받은 상하이 소재 Firetech의 이사로 지목했다. 그에게는 미국 대학의 COVID-19 연구를 겨냥한 침입과 Exchange Server 취약점 악용 혐의가 적용됐다.

같은 사건에서 Xu Zewei는 Zhang Yu와 공격을 공모한 혐의를 받는다. 그는 공격 당시 Shanghai Powerock Network에 근무했다. Xu Zewei는 2025년 7월 미국의 요청으로 이탈리아 밀라노에서 체포됐으며, 2026년 4월 미국으로 인도돼 휴스턴 연방법원에 출석했다.

Zhang Yu와 Xu Zewei를 명시한 9개 혐의의 기소장은 2023년 11월 작성돼 2025년 7월 공개됐다.

2021년 HAFNIUM 캠페인 배경

마이크로소프트는 2021년 3월 2일 Exchange Server의 취약점 4건에 대한 보안 업데이트를 배포하며 HAFNIUM 캠페인을 공개했다. 취약점은 온프레미스 Exchange Server에 영향을 미쳤고 클라우드 서비스 Exchange Online은 해당되지 않았다. FBI는 HAFNIUM 캠페인으로 1만 2700개 이상의 미국 조직이 침해당했다고 밝혔으며, 2021년 4월에는 법원 승인을 받아 미국 내 수백 대 서버에서 특정 웹셸을 복사해 제거했다.