Un ciudadano chino acusado de ser miembro del grupo de piratería informática Silk Typhoon ha sido extraditado a Estados Unidos desde Italia.

Xu Zewei, de 34 años, fue arrestado en julio de 2025 por las autoridades italianas por sus presuntos vínculos con el grupo de amenazas patrocinado por el estado chino y por orquestar ciberataques contra organizaciones y agencias gubernamentales estadounidenses entre febrero de 2020 y junio de 2021, incluida la irrupción en sistemas de una universidad de Texas para robar información sobre la vacuna COVID-19.

Fue acusado de nueve cargos de fraude electrónico y conspiración para causar daño y obtener información mediante acceso no autorizado a computadoras protegidas, así como de cometer robo de identidad agravado.

Se dice que Xu, junto con el coacusado y ciudadano chino Zhang Yu, llevaron a cabo los ataques bajo instrucciones emitidas por la Oficina de Seguridad del Estado de Shanghai (SSSB) del Ministerio de Seguridad del Estado (MSS). Algunos de estos ataques utilizaron como arma los días cero en Microsoft Exchange Server, un grupo de actividad de amenazas que Microsoft rastreó como Hafnium, para violar objetivos e implementar shells web para administración remota.

Xu trabajaba para una empresa llamada Shanghai Powerock Network Co. Ltd. cuando se llevaron a cabo los ataques, según la acusación. El Departamento de Justicia de Estados Unidos (DoJ) dijo que Powerock era una de las muchas empresas «facilitadoras» en China que realizaban operaciones de piratería para el gobierno.

«A principios de 2020, Xu y sus cómplices piratearon y atacaron de otro modo universidades, inmunólogos y virólogos con sede en Estados Unidos que realizaban investigaciones sobre vacunas, tratamientos y pruebas de COVID-19», añadió el Departamento de Justicia. «Los cargos alegan además que a partir de finales de 2020, Xu y sus cómplices explotaron ciertas vulnerabilidades en Microsoft Exchange Server, un producto de Microsoft ampliamente utilizado para enviar, recibir y almacenar mensajes de correo electrónico».

Sin embargo, el acusado ha negado repetidamente cualquier participación en las operaciones de piratería informática del gobierno chino, alegando que su arresto fue un caso de confusión de identidad. Estaba de vacaciones en Milán con su esposa cuando fue detenido. hablando con TechCrunchEl abogado de Xu dijo que se declaró inocente de todos los cargos durante una audiencia judicial el lunes. Zhang Yu sigue prófugo.

Un ciudadano chino presuntamente involucrado en una ola de ataques masivos en la era de la pandemia que comprometió a casi 13.000 organizaciones estadounidenses fue extraditado de Italia a Estados Unidos y acusado formalmente en un tribunal federal, dijo el lunes el Departamento de Justicia.

Xu Zewei y sus cómplices están acusados ​​de explotar una serie de vulnerabilidades de día cero en Microsoft Exchange Server para robar investigaciones sobre vacunas, tratamientos y pruebas de COVID-19 durante la ola inicial y el posterior pico de la pandemia.

Sus presuntos crímenes, dirigidos por los servicios de inteligencia de China, fueron parte de una campaña de espionaje más amplia conocida como HAFNIUM, dirigida a expertos en enfermedades infecciosas, bufetes de abogados, universidades, contratistas de defensa y grupos de expertos en políticas, según un acusación presentó una demanda contra Xu y Zhang Yu, quien sigue en libertad.

El grupo de amenazas patrocinado por el estado de China detrás de esos ataques contra los clientes de Microsoft, y los clientes de muchos otros proveedores desde entonces, ahora es más conocido como Silk Typhoon.

«Xu ahora responderá por su presunto papel en HAFNIUM, un grupo responsable de una vasta campaña de intrusión dirigida por el Ministerio de Seguridad del Estado de China que comprometió a más de 12.700 organizaciones estadounidenses», dijo en un comunicado Brett Leatherman, subdirector de la División Cibernética del FBI.

«Él es uno de los muchos contratistas que el gobierno chino utiliza para ocultar su participación en las operaciones cibernéticas, y otros que hacen lo mismo corren el mismo riesgo», añadió.

Xu supuestamente cometió los ataques mientras trabajaba para Shanghai Powerock Network, una de las muchas empresas que llevaron a cabo ataques para diversos servicios de inteligencia de China, según registros judiciales.

Las autoridades italianas arrestaron a Xu a petición de Estados Unidos en Milán en julio. Su captura subraya una ventana de oportunidad que los funcionarios y aliados de Estados Unidos pueden aprovechar cuando los atacantes de estados-nación viajan a países que cooperan con Estados Unidos.

Italia extraditó a Xu a Estados Unidos el sábado, pero no dio a conocer sus órdenes de extradición hasta el lunes, dijo a CyberScoop Simona Candido, su abogada en Italia.

Las autoridades dijeron que el lunes fue la primera aparición de Xu en el Tribunal de Distrito de Estados Unidos para el Distrito Sur de Texas. Actualmente se encuentra recluido en una prisión federal en Houston.

«Hemos perseguido este momento a lo largo de años y continentes, y el mensaje que esta oficina envía hoy es el mismo que enviamos cuando abrimos por primera vez esta acusación: trabajaremos para proteger al pueblo estadounidense», dijo en un comunicado John GE Marck, fiscal federal interino para el Distrito Sur de Texas.

Xu supuestamente trabajó bajo la dirección de la Oficina de Seguridad Estatal de Shanghai del Ministerio de Seguridad del Estado de China para irrumpir en las redes de organizaciones estadounidenses, robar datos e implantar webshells para un acceso remoto persistente. Los funcionarios también acusan a Xu de robar información sobre los responsables políticos y las agencias gubernamentales estadounidenses de una firma de abogados global con oficinas en Washington.

Microsoft advirtió por primera vez a los clientes sobre la Campaña HAFNIO en marzo de 2021. El FBI y la Agencia de Seguridad de Infraestructura y Ciberseguridad siguieron poco después con un asesoramiento conjunto sobre el compromiso generalizado de Microsoft Exchange Server.

«La acción policial de hoy demuestra las consecuencias en el mundo real de esta actividad dirigida por el Estado, impulsada por una vasta red de empresas privadas que operan bajo la dirección del gobierno chino», dijo a CyberScoop Aaron Shraberg, líder del equipo senior de inteligencia global en Flashpoint.

«Extraditar a estos individuos de países en coordinación con las fuerzas del orden internacionales demuestra una postura unida ante estas acciones y la importancia de traer consecuencias en el mundo real a los notorios ataques de China no sólo contra el pueblo estadounidense y sus empresas, sino también contra personas de todo el mundo», añadió Shraberg.

Xu está acusado de conspiración para cometer fraude electrónico; dos cargos de fraude electrónico; conspiración para causar daño y obtener información mediante acceso no autorizado a computadoras protegidas, cometer fraude electrónico y cometer robo de identidad; dos cargos de obtención de información mediante acceso no autorizado a computadoras protegidas; dos cargos de daño intencional a una computadora protegida; y robo de identidad agravado.

El hombre de 34 años enfrenta hasta 62 años de prisión por sus presuntos delitos.