Xu Zewei, een 34-jarige man die wordt verdacht van hackactiviteiten namens het Chinese Ministerie van Staatsveiligheid, is vanuit Italië uitgeleverd aan de Verenigde Staten. Hij arriveerde afgelopen weekend in Houston, Texas, waar hij maandag voor de federale rechtbank verscheen en onschuldig pleitte. Xu wordt momenteel vastgehouden in het Federal Detention Center in Houston.

Xu werd in juli 2025 gearresteerd tijdens een vakantie in Milaan, samen met zijn vrouw. Hij ontkent de beschuldigingen en stelt dat de Italiaanse politie de verkeerde persoon heeft aangehouden. Volgens de aanklacht probeerden Xu en een medeverdachte begin 2020 onderzoek naar het coronavirus te stelen van Amerikaanse universiteiten, immunologen en virologen. Terwijl wetenschappers wereldwijd werkten aan vaccins, behandelingen en testmethoden, zouden de hackers deze informatie heimelijk hebben proberen te bemachtigen. Een van de doelwitten was een universiteit in Texas.

De Amerikaanse justitie stelt dat Xu handelde in opdracht van het Shanghai State Security Bureau, onderdeel van het Chinese Ministerie van Staatsveiligheid. Destijds werkte Xu voor Shanghai Powerock Network, een Chinees bedrijf dat volgens aanklagers werd ingezet voor hacking namens Beijing. Xu wordt gelinkt aan Hafnium, de Chinese staatsgesponsorde hackinggroep die door Microsoft ook wel Silk Typhoon wordt genoemd. Deze groep voerde in 2021 zero-day aanvallen op Microsoft Exchange Server uit. Door gebruik te maken van onbekende kwetsbaarheden wisten zij duizenden Exchange-servers te compromitteren en langdurige toegang te verkrijgen.

Volgens het FBI werden meer dan 60.000 Amerikaanse organisaties aangevallen, waarvan ruim 12.700 succesvol werden gehackt. De getroffen partijen varieerden van defensiebedrijven en advocatenkantoren tot denktanks en onderzoekers naar infectieziekten. China ontkent elke betrokkenheid en protesteerde tegen de uitlevering van Xu, waarbij het ministerie van Buitenlandse Zaken sprak van gefabriceerde aanklachten tegen Chinese burgers.

Xu wordt onder meer beschuldigd van computervredebreuk, samenzwering om computers te beschadigen en identiteitsdiefstal. Bij een veroordeling kan hij tientallen jaren gevangenisstraf krijgen. Dit geval is bijzonder omdat de meeste staatsgesponsorde hackers die door de Amerikaanse justitie worden aangeklaagd, zelden in een Amerikaanse rechtbank terechtkomen. Dit komt doordat zij zich meestal in landen bevinden die geen uitleveringsverdrag met de VS hebben. Xu maakte de fout op vakantie te gaan naar een land dat wel uitlevert, waardoor hij nu voor de rechter moet verschijnen.

Voor organisaties die slachtoffer waren van de Exchange-aanvallen in 2021 kan dit nieuws een gevoel van gerechtigheid bieden. Tegelijkertijd benadrukt het dat achter grootschalige cybercampagnes echte personen schuilgaan met namen, werkgevers en reisplannen, die soms onverwacht eindigen.