**Extradición de un nacional chino por ataques cibernéticos en la era de la pandemia: el caso de HAFNIUM**
La creciente amenaza de la ciberespionaje patrocinado por estados ha cobrado un nuevo capítulo con la extradición de Xu Zewei, un ciudadano chino, desde Italia a Estados Unidos, donde ha sido formalmente acusado de una serie de ataques cibernéticos masivos que comprometieron a cerca de 13,000 organizaciones estadounidenses durante la pandemia de COVID-19. Esta situación no solo afecta a las entidades directamente involucradas, sino que también resalta la vulnerabilidad de las infraestructuras críticas en un contexto donde la ciberseguridad se ha vuelto un tema de preocupación global.
Xu y sus co-conspiradores están acusados de haber explotado una serie de vulnerabilidades de día cero en Microsoft Exchange Server para robar información relacionada con las investigaciones sobre vacunas, tratamientos y pruebas del COVID-19, aprovechando el caos y la urgencia que caracterizaron los primeros meses de la pandemia. Las implicaciones de estos ataques se extienden más allá de la simple sustracción de datos, dado que la información robada podría haber influido en la respuesta global a la pandemia.
Los delitos que se le imputan a Xu forman parte de una campaña de espionaje más amplia conocida como HAFNIUM, que ha tenido como objetivo a expertos en enfermedades infecciosas, firmas de abogados, universidades, contratistas de defensa y centros de investigación de políticas. Esta campaña ha sido atribuida a un grupo de amenazas respaldado por el estado chino, conocido como Silk Typhoon, que ha estado activo en ataques a clientes de Microsoft y otros proveedores.
Brett Leatherman, director asistente de la División Cibernética del FBI, subrayó la gravedad de los cargos, afirmando que Xu deberá responder por su supuesta participación en HAFNIUM, que resultó en la intrusión de más de 12,700 organizaciones en Estados Unidos. Xu es uno de los muchos contratistas que el gobierno chino utiliza para ocultar su implicación en operaciones cibernéticas, insinuando que aquellos que operan bajo este esquema corren el riesgo de ser descubiertos y procesados.
Los ataques en los que se le acusa a Xu se llevaron a cabo mientras trabajaba para Shanghai Powerock Network, una de las numerosas empresas que han ejecutado ataques en nombre de los servicios de inteligencia chinos. Su arresto en Milán, a solicitud de Estados Unidos en julio, pone de manifiesto la posibilidad de que las autoridades estadounidenses y sus aliados puedan actuar cuando atacantes estatales viajan a países que cooperan con ellos.
La extradición se llevó a cabo el sábado, aunque no se hicieron públicos los detalles hasta el lunes, según Simona Candido, abogada de Xu en Italia. Este día marcó la primera aparición de Xu en el Tribunal de Distrito de EE. UU. para el Distrito Sur de Texas, donde actualmente se encuentra recluido en una prisión federal en Houston.
El fiscal interino para el Distrito Sur de Texas, John G.E. Marck, destacó que este momento es el resultado de años de esfuerzos y que el mensaje es claro: se trabajará para proteger al pueblo estadounidense. Las acusaciones contra Xu incluyen conspiración para cometer fraude electrónico, múltiples cargos de fraude electrónico y daños intencionados a computadoras protegidas, entre otros.
Xu es acusado de actuar bajo la dirección de la Oficina de Seguridad del Estado de Shanghái, que forma parte del Ministerio de Seguridad del Estado de China, para infiltrarse en las redes de organizaciones estadounidenses, robar datos e implantar webshells que permiten un acceso remoto persistente. Además, se le acusa de haber sustraído información sobre responsables políticos y agencias gubernamentales de un bufete de abogados global con sede en Washington.
Microsoft alertó por primera vez a sus clientes sobre la campaña HAFNIUM en marzo de 2021, seguido por un aviso conjunto del FBI y la Agencia de Seguridad de Infraestructura y Ciberseguridad sobre la amplia compromisión de Microsoft Exchange Server. La acción legal de hoy resalta las consecuencias tangibles de las actividades lideradas por el estado, las cuales son facilitadas por una vasta red de empresas privadas operando bajo la dirección del gobierno chino.
Aaron Shraberg, líder de equipo senior de inteligencia global en Flashpoint, enfatizó la importancia de la cooperación internacional en la extradición de individuos involucrados en cibercrímenes, resaltando que esto representa una postura unificada en la condena de acciones que no solo afectan a Estados Unidos, sino a individuos y empresas en todo el mundo.
Con 34 años, Xu enfrenta una posible condena de hasta 62 años de prisión por sus presuntos delitos, lo que subraya la gravedad de las acusaciones en un mundo cada vez más interconectado, donde las fronteras digitales son tan relevantes como las físicas a la hora de abordar la ciberseguridad.
La extradición de Xu y el enfoque en la campaña HAFNIUM son un recordatorio de que la ciberseguridad debe ser una prioridad tanto para los gobiernos como para las empresas, a medida que el panorama de amenazas sigue evolucionando. Las organizaciones deben reforzar sus defensas, actualizar sus sistemas y permanecer alerta ante la posibilidad de nuevas vulnerabilidades que pueden ser explotadas por actores maliciosos.