สหรัฐฯ ประกาศรางวัลสูงสุด 10 ล้านดอลลาร์ ล่าตัว Zhang Yu ผู้ต้องหาคดีแฮก HAFNIUM

กระทรวงการต่างประเทศสหรัฐฯ ผ่านโครงการ Rewards for Justice เสนอเงินรางวัลสูงสุด 10 ล้านดอลลาร์ สำหรับข้อมูลที่นำไปสู่การระบุตัวหรือพบตัว Zhang Yu ชาวจีนที่ถูกตั้งข้อหาในสหรัฐฯ จากกรณีเกี่ยวข้องกับการแฮก Microsoft Exchange Server เมื่อปี 2021 ที่รู้จักในชื่อปฏิบัติการ HAFNIUM ตามรายงานของสำนักข่าว NTD ที่อ้างประกาศของโครงการดังกล่าว

ทางการสหรัฐฯ ระบุว่า Zhang ยังหลบหนีอยู่ และยังไม่ถูกจับกุม โดยข้อกล่าวหาต่อเขายังไม่ผ่านการพิจารณาในศาล ตัวเลขและถ้อยคำของรางวัลนี้ตรงกับข้อเสนอที่โครงการเคยประกาศไว้ตั้งแต่เดือนมกราคม 2025 ซึ่งเป็นรางวัลสำหรับข้อมูลเกี่ยวกับผู้ที่แฮกโครงสร้างพื้นฐานสำคัญของสหรัฐฯ ภายใต้คำสั่งของรัฐบาลต่างชาติ

Zhang ถูกฟ้องร่วมกับชายอีกคนคือ Xu Zewei ในศาลรัฐบาลกลางที่เมืองฮิวสตัน โดยคำฟ้องมีทั้งหมด 9 ข้อหา ลงวันที่เดือนพฤศจิกายน 2023 และเปิดเผยต่อสาธารณะในเดือนกรกฎาคม 2025 ส่วนการแฮกที่ถูกกล่าวหาเกิดขึ้นระหว่างเดือนกุมภาพันธ์ 2020 ถึงมิถุนายน 2021 ขณะที่ Xu ถูกจับกุมที่เมืองมิลาน อิตาลี ในเดือนกรกฎาคม 2025 ตามคำขอของสหรัฐฯ และอิตาลีส่งตัวเขาให้สหรัฐฯ ในเดือนเมษายน 2026

ทางการสหรัฐฯ ระบุว่า Zhang เป็นผู้อำนวยการของบริษัท Shanghai Firetech Information Science and Technology ในเซี่ยงไฮ้ และทำงานตามคำสั่งของสำนักความมั่นคงแห่งรัฐเซี่ยงไฮ้ ซึ่งเป็นหน่วยงานในสังกัดกระทรวงความมั่นคงแห่งรัฐของจีน โดย Zhang ควบคุมดูแลการแฮกของพนักงาน Firetech คนอื่น และประสานงานกับ Xu ซึ่งทำงานให้บริษัท Shanghai Powerock Network อีกแห่งหนึ่ง

คำฟ้องระบุว่าการบุกรุกมี 2 ช่วง ช่วงแรกต้นปี 2020 เจาะเป้ามหาวิทยาลัยและนักวิจัยในสหรัฐฯ ที่ทำงานด้านวัคซีนและการรักษาโควิด-19 ส่วนช่วงที่สองปลายปี 2020 เป็นการใช้ช่องโหว่ใน Microsoft Exchange Server ซึ่งต่อมา Microsoft เปิดเผยการโจมตีเมื่อวันที่ 2 มีนาคม 2021 และออกแพตช์แก้ไขช่องโหว่ zero-day 4 รายการ โดย FBI ระบุว่าปฏิบัติการ HAFNIUM ทั้งหมดส่งผลกระทบต่อองค์กรในสหรัฐฯ มากกว่า 12,700 แห่ง