Gli Stati Uniti hanno messo una taglia da 10 milioni di dollari su Zhang Yu, uno dei protagonisti della grande campagna di cyber-spionaggio attribuita alla Cina e conosciuta come Hafnium. Il dipartimento di Stato ha inserito il suo nome nel programma “Rewards for Justice”, offrendo una ricompensa fino a 10 milioni per informazioni che possano portare alla sua identificazione o localizzazione.

Zhang, secondo le autorità americane, non sarebbe un hacker indipendente. È indicato come direttore della Shanghai Firetech Information Science and Technology e come operatore che avrebbe lavorato per conto dello Shanghai State Security Bureau (Sssb), la struttura locale del ministero cinese per la sicurezza dello Stato (Mss), ovvero l’intelligence di Pechino.

Il suo nome è legato a quello di Xu Zewei⁠, arrestato in Italia nel luglio 2025 mentre si trovava in vacanza a Milano e poi estradato negli Stati Uniti nell’aprile di quest’anno. I due avrebbero cominciato a collaborare almeno dal 2020, prendendo di mira ricercatori e istituzioni americane impegnati nello studio del Covid-19. Nel 2021 sarebbero poi passati all’attacco dei sistemi Microsoft Exchange, sfruttando le vulnerabilità del software per penetrare nelle reti di migliaia di organizzazioni in tutto il mondo. La campagna venne attribuita dagli Stati Uniti al gruppo Hafnium. Secondo il Federal Bureau of Investigation, furono compromesse oltre 12.700 organizzazioni, a fronte di più di 60.000 obiettivi statunitensi.

Ma l’interesse degli hacker non sarebbe stato soltanto quello di raccogliere grandi quantità di dati. Nell’incriminazione americana vengono citate caselle di posta di università e studi legali nelle quali sarebbero state cercate parole chiave come “MSS”, “Chinese sources” e “HongKong”. Un dettaglio che mostra quanto fosse mirata la ricerca di informazioni su fonti, contatti e attività legate alla Cina.

Per Washington, inoltre, Zhang e Xu non agivano semplicemente come criminali informatici indipendenti. Secondo l’accusa, ricevevano ordini di Mss e Sssb e riferivano agli ufficiali che li supervisionavano. Il caso rientra così nella più ampia accusa americana secondo cui l’intelligence cinese utilizza una rete di società private e contractor per condurre operazioni cyber, rendendo meno evidente il coinvolgimento diretto dello Stato.

La stessa Shanghai Firetech, società diretta da Zhang, appare avere capacità tecniche che vanno oltre il semplice ruolo societario. Una ricerca pubblicata da SentinelLabs ha individuato nei registri cinesi oltre dieci brevetti dell’azienda relativi a tecnologie di raccolta dati e analisi forense, compresi strumenti per acquisire informazioni da computer Apple. Gli stessi ricercatori precisano però che non è possibile collegare automaticamente queste tecnologie alle operazioni offensive attribuite a Hafnium.

La domanda, però, è un’altra: perché Washington abbia deciso di rendere pubblica ora una ricompensa così alta?

L’incriminazione di Zhang e Xu risale al luglio 2025. Xu è già stato arrestato in Italia ed estradato negli Stati Uniti, mentre Zhang non è mai stato catturato. La taglia può naturalmente servire ad aumentare le possibilità di arrivare a lui. Ma ha anche un evidente valore di segnale: Washington vuole mostrare che il caso non è chiuso e che la pressione sugli uomini della rete cinese continua.

E lascia aperta un’altra domanda: Xu Zewei ha iniziato a collaborare con gli investigatori americani?

Non ci sono elementi pubblici per dirlo. Ma la scelta di rilanciare il caso proprio adesso, con una ricompensa fino a 10 milioni di dollari, rende la domanda inevitabile.

Xu è negli Stati Uniti. Zhang, invece, è ancora ricercato. E ora Washington ha messo un prezzo sulla sua testa.

L'articolo Gli Usa mettono una taglia record sul socio dell’hacker estradato dall’Italia proviene da Linkiesta.it.