ABD, HAFNIUM Saldırılarıyla Bağlantılı Çinli Hacker Zhang Yu İçin 10 Milyon Dolar Ödül Teklif Etti

ABD Dışişleri Bakanlığı, HAFNIUM adıyla bilinen 2021 Microsoft Exchange Server saldırılarıyla bağlantılı olarak ABD federal mahkemesinde suçlanan Çin uyruklu Zhang Yu'nun kimliğinin ortaya çıkarılmasına veya yerinin tespit edilmesine yol açacak bilgiler karşılığında 10 milyon dolara kadar ödül teklif ediyor. Bakanlığın ulusal güvenlik ödül programı olan Rewards for Justice çerçevesinde yapılan bu duyuruyu NTD haber sitesi aktardı. ABD yetkilileri, Zhang'ın hâlâ yakalanmadığını ve kaçak olduğunu belirtiyor. Hakkındaki suçlamalar henüz mahkemede görülmedi.

Rewards for Justice Programı ve Ödülün Kapsamı​

Rewards for Justice, Dışişleri Bakanlığı'nın ulusal güvenlik alanındaki ödül programıdır. Program, 1984'ten bu yana 125'ten fazla kişiye toplamda 250 milyon dolardan fazla ödeme yaptığını açıklıyor. Programın Zhang için yayımladığı duyuruda, kendisinin "ABD kritik altyapısına yönelik kötü amaçlı siber faaliyetler" nedeniyle arandığı ifade ediliyor. Bu miktar ve ifade, programın Ocak 2025'te yabancı bir hükümetin yönlendirmesiyle ABD kritik altyapısını hackleyen herkese yönelik zaten sunduğu teklifle örtüşüyor.
Zhang Yu, Houston'daki federal mahkemede ikinci bir kişiyle, Xu Zewei ile birlikte suçlanıyor. Kasım 2023 tarihli ve dokuz sayım içeren iddianame, Temmuz 2025'te kamuoyuyla paylaşıldı. O tarihten bu yana Adalet Bakanlığı, Zhang'ın nerede olduğuna dair halktan bilgi talep ediyor.

Xu Zewei'nin Tutuklanması ve İadesi​

Xu Zewei, Temmuz 2025'te ABD'nin talebi üzerine Milano'da tutuklandı ve İtalya tarafından Nisan 2026'da ABD'ye iade edildi. FBI Siber Bölümü Direktör Yardımcısı Brett Leatherman, o dönemde yaptığı açıklamada şunları söyledi: "Xu, Çin hükümetinin siber operasyonlardaki rolünü gizlemek için kullandığı çok sayıda müteahhitten biridir; aynı şeyi yapan diğerleri de aynı riskle yüz yüze gelecektir."

Zhang Yu'ya Yöneltilen Suçlamalar​

ABD yetkilileri, Zhang'ı Şanghay merkezli Shanghai Firetech Information Science and Technology şirketinde direktör olarak tanımlıyor. İddianameye göre Zhang; Şanghay Devlet Güvenlik Bürosu tarafından verilen görevler üzerinde çalışmış, diğer Firetech çalışanlarının gerçekleştirdiği hackleme eylemlerini denetlemiş ve bu faaliyetleri Xu Zewei ile koordineli biçimde yürütmüştür. Söz konusu büro, Çin'in istihbarat servisi olan Devlet Güvenlik Bakanlığı'na (MSS) bağlıdır.
Xu Zewei'nin ise Şanghay merkezli ikinci bir şirket olan Shanghai Powerock Network için çalıştığı ileri sürülüyor. Adalet Bakanlığı, Powerock'u Çin hükümeti adına hackleme yapan çok sayıda "etkinleştirici" şirketten biri olarak nitelendiriyor ve Çin'in bu özel şirketler ve müteahhitler aracılığıyla kendi rolünü gizlediğini öne sürüyor.
İddianamede iki ayrı saldırı grubu yer alıyor. Birincisi, 2020 yılı başında COVID-19 aşıları, tedavisi ve testleri üzerine çalışan ABD üniversitelerini ve bilim insanlarını hedef aldı. İkincisi ise 2020 yılının sonlarında başlayıp daha sonra HAFNIUM adıyla anılacak kampanya kapsamında Microsoft Exchange Server'daki açıkları istismar etti. İddianameye göre Xu Zewei, 30 Ocak 2021 tarihinde veya bu tarihe yakın bir zamanda Zhang'a bir Teksas üniversitesinin ağına sızdığını bildirdi. Mağdurlar arasında iki Teksas üniversitesi ile Washington D.C.'de ofisi bulunan uluslararası bir hukuk firması yer alıyor.

HAFNIUM Kampanyası: Microsoft Exchange Saldırıları​

Microsoft, Exchange Server saldırılarını 2 Mart 2021'de kamuoyuna duyurdu ve ProxyLogon olarak bilinen açık da dahil olmak üzere dört sıfır gün açığı için yamalar yayımladı. Microsoft, saldırıları "Çin'den faaliyet gösteren ve devlet destekli olduğu değerlendirilen" HAFNIUM adlı bir gruba bağladı. Şirket bu grubu artık Silk Typhoon olarak takip ediyor. Günler içinde başka hackleme gruplarının da aynı açıkları kullandığı görüldü. FBI, HAFNIUM kampanyasının bütünüyle 12.700'den fazla ABD kuruluşunu ele geçirdiğini açıklıyor. Temmuz 2021'de ise ABD ve ortak hükümetler, MSS ile bağlantılı hackerlerin bu kampanyayı gerçekleştirdiğini açıkladı. Xu Zewei ve Zhang Yu isimleri, ABD iddianamesinden geliyor.

Sıkça Sorulan Sorular​

Zhang Yu kim ve neden aranıyor?​

Zhang Yu, Çin uyruklu bir kişidir. ABD makamları onu Shanghai Firetech Information Science and Technology şirketinde direktör olarak tanımlıyor. 2021 Microsoft Exchange Server saldırıları olarak bilinen HAFNIUM kampanyası ve 2020'de COVID-19 araştırmalarını hedef alan saldırılar dahil olmak üzere ABD kritik altyapısına yönelik kötü amaçlı siber faaliyetlerdeki iddia edilen rolü nedeniyle ABD federal mahkemesinde suçlanıyor. Hâlâ kaçak durumda olup hakkındaki suçlamalar mahkemede görülmedi.

HAFNIUM kampanyası nedir ve kaç kuruluşu etkiledi?​

HAFNIUM, Microsoft Exchange Server'daki dört sıfır gün açığını istismar eden bir siber saldırı kampanyasıdır. Microsoft bu saldırıları 2 Mart 2021'de duyurdu ve ProxyLogon dahil ilgili açıklar için yamalar yayımladı. FBI'a göre kampanya, 12.700'den fazla ABD kuruluşunu ele geçirdi. Temmuz 2021'de ABD ve ortak hükümetler, saldırıları Çin Devlet Güvenlik Bakanlığı ile bağlantılı hackerlara atfetti.

Xu Zewei ne zaman ve nasıl tutuklandı?​

Xu Zewei, Temmuz 2025'te ABD'nin talebi üzerine İtalya'nın Milano şehrinde tutuklandı. İtalya, Xu'yu Nisan 2026'da ABD'ye iade etti. Xu'nun Zhang Yu ile birlikte Houston'daki federal mahkemede suçlandığı ve Shanghai Powerock Network adlı bir şirket için çalıştığı iddia ediliyor.

Rewards for Justice programı nedir ve şimdiye kadar ne kadar ödeme yaptı?​

Rewards for Justice, ABD Dışişleri Bakanlığı'nın ulusal güvenlik alanındaki ödül programıdır. Program, 1984'ten bu yana 125'ten fazla kişiye toplamda 250 milyon dolardan fazla ödeme yaptığını belirtiyor. Zhang Yu için sunulan 10 milyon dolarlık ödül, programın Ocak 2025'te yabancı bir hükümetin yönlendirmesiyle ABD kritik altyapısını hedef alan herkese yönelik ilan ettiği teklifle aynı miktar ve kapsamdadır.

İddianamede Zhang Yu'ya atfedilen saldırıların hedefleri kimlerdi?​

İddianameye göre saldırılar iki grupta ele alınıyor: 2020 başında COVID-19 aşıları, tedavisi ve testleri üzerine çalışan ABD üniversiteleri ve bilim insanları hedef alındı. 2020 sonlarından itibaren süren HAFNIUM kampanyasında ise iki Teksas üniversitesi ile Washington D.C.'de ofisi bulunan uluslararası bir hukuk firması mağdurlar arasında sayılıyor.