¿Recuerdas los ciberataques masivos a servidores de correo y el robo de investigaciones sobre la pandemia? Uno de los presuntos responsables acaba de llegar a suelo estadounidense para enfrentar a la justicia.

Xu Zewei, un ciudadano chino de 34 años, fue extraditado desde Italia y se presentó ante un tribunal federal en Houston este fin de semana, acusado de ser un hacker contratista para el gobierno chino. Según el Departamento de Justicia de EE.UU., operaba bajo la dirección del Ministerio de Seguridad del Estado (MSS) de China.

De la investigación del COVID-19 al caos en Exchange

Los cargos detallan una campaña de intrusiones entre febrero de 2020 y junio de 2021. La operación habría comenzado apuntando a universidades estadounidenses. En concreto, se alega que Xu accedió a la red de una universidad de Texas y fue instado a extraer correos electrónicos de virólogos e inmunólogos que estudiaban el COVID-19.

Las autoridades afirman que los datos robados incluían investigaciones sensibles sobre vacunas, tratamientos y pruebas.

Pero la cosa no quedó ahí. Más tarde, la operación se expandió para explotar las vulnerabilidades de Microsoft Exchange Server reveladas en marzo de 2021. Estos ataques formaron parte de la amplia campaña atribuida al grupo Silk Typhoon (también conocido como Hafnium), que golpeó a miles de organizaciones en todo el mundo.

La escala del presunto espionaje

Según los fiscales, los hackers de Hafnium apuntaron a más de 60,000 entidades en EE.UU. y tuvieron éxito en piratear a más de 12,700 de ellas. El FBI detalla que en la campaña Silk Typhoon se desplegaron web shells en servidores comprometidos, permitiendo acceso remoto persistente y la exfiltración de datos.

Entre las víctimas alegadas se encontrarían otra universidad estadounidense y un bufete de abogados global. Los atacantes incluso habrían buscado en los correos robados referencias a responsables políticos y agencias de EE.UU., utilizando términos vinculados a los intereses de inteligencia chinos.

La estructura detrás del ataque

Aquí está el detalle clave: los documentos judiciales alegan que Xu trabajaba a través de un contratista privado, Shanghai Powerock Network Co. Ltd., parte de un ecosistema más amplio utilizado para oscurecer la participación gubernamental en operaciones cibernéticas. Según TechCrunch, Xu y otros hackers informaban directamente a funcionarios estatales chinos en Shanghai.

Xu Zewei enfrenta múltiples cargos, incluidos fraude electrónico, acceso no autorizado a ordenadores protegidos y robo de identidad. Cada uno conlleva una posible sentencia de prisión de 2 a 20 años. Su presunto cómplice, Zhang Yu, sigue en paradero desconocido.

La respuesta china y un precedente claro

Como era de esperar, el gobierno chino ha rechazado las acusaciones. El Ministerio de Relaciones Exteriores de China se opuso a la extradición y acusó al gobierno de EE.UU. de «fabricar casos«, según informó Financial Times.

Este caso recuerda al de Yanjun Xu, un oficial de inteligencia chino extraditado y sentenciado en 2022 a 20 años de prisión por delitos de hacking, en lo que el Departamento de Justicia describió como el primer caso de ese tipo.

Por ahora, Xu Zewei está bajo custodia en el Centro Federal de Detención de Houston. Las autoridades estadounidenses enfatizan que las acusaciones no están probadas y que el acusado se presume inocente hasta que se demuestre su culpabilidad en un tribunal. Pero una cosa es clara: la batalla judicial por uno de los episodios de ciberespionaje más sonados de los últimos años acaba de comenzar.