Mỹ truy nã hacker Trung Quốc trong chiến dịch Hafnium, treo thưởng 10 triệu USD

Bộ Ngoại giao Mỹ đang treo thưởng tới 10 triệu USD cho bất kỳ ai cung cấp thông tin về Zhang Yu, một công dân Trung Quốc bị cáo buộc tham gia chiến dịch tấn công Hafnium nhắm vào máy chủ Microsoft Exchange. Zhang bị truy tố cùng Xu Zewei — đối tượng đã bị dẫn độ từ Italia về Mỹ hồi tháng 4/2026. Đây là một trong những vụ truy nã hacker có quy mô lớn nhất liên quan đến các chiến dịch tấn công chuỗi cung ứng phần mềm.

Hacker bị truy nã trong chiến dịch Hafnium

Chương trình treo thưởng và đối tượng bị truy nã

Chương trình Rewards for Justice (RFJ) thuộc Bộ Ngoại giao Mỹ đã công bố khoản tiền thưởng này hôm thứ Tư. Theo RFJ, Zhang Yu hiện là giám đốc tại Shanghai Firetech Information Science and Technology Company, và bị cáo buộc làm việc cho Cục An ninh Quốc gia Thượng Hải (SSSB) — một đơn vị thuộc Bộ An ninh Quốc gia Trung Quốc (MSS).

"Bắt đầu từ đầu năm 2020, Zhang và cộng sự Xu Zewei — khi đó là tổng giám đốc của Shanghai Powerock Network Co. Ltd. — đã truy cập trái phép vào các nghiên cứu về COVID-19 do các trường đại học Mỹ cùng các nhà miễn dịch học và virus học hàng đầu thực hiện để đánh cắp thông tin nhạy cảm", RFJ cho biết.

Cả hai bị cáo buộc trong bản cáo trạng 9 tội danh được công bố hồi tháng 7/2025, chỉ vài ngày sau khi cảnh sát Italia bắt giữ Xu tại Milan theo yêu cầu của phía Mỹ. Xu sau đó đã ra hầu tòa liên bang tại Houston, trong khi Zhang vẫn đang lẩn trốn.

Ảnh minh họa an ninh mạng

Chiến dịch Hafnium và quy mô thiệt hại

Đến năm 2021, hai đối tượng này bị cáo buộc khai thác các lỗ hổng trong Microsoft Exchange Server như một phần của chiến dịch Hafnium. Theo RFJ, chiến dịch này đã xâm nhập hàng nghìn máy tính trên toàn thế giới, với nạn nhân bao gồm một trường đại học và một công ty luật của Mỹ.

Microsoft đã công bố vụ tấn công Hafnium vào tháng 3/2021 và hiện theo dõi nhóm tấn công này dưới tên Silk Typhoon. Khi Xu bị dẫn độ, FBI cho biết chiến dịch đã xâm phạm hơn 12.700 tổ chức tại Mỹ. Đây là một trong những sự cố bảo mật nghiêm trọng nhất từng được ghi nhận đối với hạ tầng email doanh nghiệp.

Khoản tiền thưởng nằm trong chương trình RFJ nhằm truy tìm những cá nhân tấn công hạ tầng trọng yếu của Mỹ, vi phạm Đạo luật Gian lận và Lạm dụng Máy tính (Computer Fraud and Abuse Act), khi hành động dưới sự chỉ đạo hoặc kiểm soát của một chính phủ nước ngoài.

Ý nghĩa đối với doanh nghiệp và người dùng Việt Nam

Với các doanh nghiệp Việt Nam, vụ việc là lời nhắc nhở rõ ràng về rủi ro từ các cuộc tấn công khai thác lỗ hổng phần mềm phổ biến. Máy chủ Microsoft Exchange từng là mục tiêu ưa thích của nhiều nhóm tấn công có nguồn gốc nhà nước, bởi chúng thường được triển khai trong môi trường doanh nghiệp mà không được vá kịp thời.

• Cập nhật bản vá định kỳ cho các hệ thống email và máy chủ nội bộ, đặc biệt là Exchange Server.
• Giám sát truy cập bất thường vào dữ liệu nghiên cứu, tài liệu nội bộ và thông tin khách hàng.
• Áp dụng mô hình zero trust và xác thực đa yếu tố để giảm thiểu hậu quả khi một endpoint bị xâm phạm.
• Nâng cao nhận thức nhân viên về các chiến dịch gián điệp mạng nhắm vào lĩnh vực nghiên cứu, y tế và luật.

Việc Mỹ treo thưởng 10 triệu USD cho thấy mức độ nghiêm trọng mà chính phủ nước này đánh giá về các chiến dịch tấn công mạng có bảo trợ nhà nước. Đối với cộng đồng doanh nghiệp và tổ chức tại Việt Nam — vốn cũng nằm trong tầm ngắm của nhiều nhóm APT — bài học về vá lỗ hổng và giám sát liên tục vẫn là yếu tố then chốt để bảo vệ hạ tầng số.