¿Qué hizo Xu Zewei, el hacker chino entregado a EEUU?

Xu Zewei, acusado por EEUU de ciberespionaje chino, queda en el centro de una trama con COVID, Hafnium, Italia y una defensa incómoda.

Zewei Xu, ingeniero chino de 33 años, ya ha sido extraditado desde Italia a Estados Unidos, donde está reclamado por una acusación federal de ciberdelincuencia vinculada al robo de información científica durante la pandemia. El caso arranca en el aeropuerto de Malpensa, en Milán, donde fue detenido el 3 de julio de 2025 por la Policía italiana a petición de las autoridades estadounidenses, y desemboca ahora en una entrega que convierte un expediente técnico, lleno de servidores, correos y vulnerabilidades, en un asunto diplomático de primera línea.

Estados Unidos sostiene que Xu no era un pirata informático aislado, de esos que el imaginario popular coloca en una habitación oscura con varias pantallas y una taza de café frío al lado, sino un presunto contratista de una red de ciberespionaje dirigida por estructuras de seguridad chinas. La acusación lo vincula con el robo de investigaciones sobre vacunas, tratamientos y pruebas de COVID-19, y también con Hafnium, el nombre con el que Microsoft identificó en 2021 a un grupo de hackers asociado a China y señalado por explotar fallos en servidores Microsoft Exchange. Xu niega las acusaciones, se declara inocente y su defensa habla de error de identidad. Ahí está el nudo: Washington ve una pieza de inteligencia hostil; la defensa, un hombre atrapado en una maquinaria geopolítica que lo ha confundido con otro.

Un arresto en Malpensa y una extradición con mensaje político

La historia visible empieza con una escena bastante prosaica: un pasajero llega al aeropuerto de Malpensa y acaba detenido por una orden internacional. No hay persecución de película, no hay helicópteros sobre Milán, no hay agentes con gafas de sol bajando por una escalerilla. Hay una terminal, un mandato estadounidense y una investigación del FBI que llevaba años madurando en silencio. Xu, natural de China y vinculado profesionalmente al sector tecnológico, fue arrestado el 3 de julio de 2025. Desde entonces, su caso pasó por los tribunales italianos hasta que la cadena judicial y política quedó cerrada: la Corte de Apelación de Milán aceptó la solicitud, la Casación rechazó el recurso de la defensa y el Ministerio de Justicia italiano autorizó finalmente la entrega.

El calendario importa. El 27 de enero de 2026, la Corte de Apelación de Milán declaró que existían las condiciones para aceptar la extradición. El 16 de abril, la Casación rechazó el recurso planteado por los abogados de Xu. Y, según la información conocida este 26 de abril, el Ministerio de Justicia italiano dio luz verde en los días posteriores y la extradición ya se ha ejecutado. Es decir, no se trata solo de una orden técnica entre fiscalías. Es una decisión que cruza el despacho de los jueces, entra en el ministerio y sale por la puerta de la política internacional.

Italia queda así en una posición delicada, aunque conocida: aliado atlántico de Estados Unidos, socio europeo que comercia con China y país obligado a tratar como asunto judicial lo que inevitablemente huele a pulso entre potencias. Un detenido en Malpensa puede parecer una noticia local, casi de sucesos aeroportuarios, pero la acusación habla de universidades estadounidenses, laboratorios, servidores de correo, inteligencia china, COVID-19 y una campaña global de intrusiones informáticas. Malpensa, de pronto, deja de ser un aeropuerto y se convierte en una esclusa. Por ahí pasa algo más grande.

Quién es Xu Zewei y qué le atribuye Estados Unidos

La acusación federal presentada en el Distrito Sur de Texas identifica a Xu Zewei como ciudadano chino de 33 años y lo sitúa junto a otro acusado, Zhang Yu, de 44 años, en una investigación por intrusiones informáticas cometidas entre febrero de 2020 y junio de 2021. El Departamento de Justicia de Estados Unidos habla de una acusación de nueve cargos, entre ellos fraude electrónico, acceso no autorizado a ordenadores protegidos, daños intencionados a sistemas informáticos y robo agravado de identidad. Zhang Yu sigue en paradero desconocido, mientras que Xu, tras la extradición, deberá afrontar el procedimiento en suelo estadounidense.

El relato de Washington es muy concreto. Según los documentos judiciales citados por el Departamento de Justicia, Xu habría trabajado para Shanghai Powerock Network Co. Ltd., una empresa señalada como una de esas compañías pantalla o facilitadoras que, siempre según la acusación, prestaban servicios de hacking al aparato estatal chino. La dirección última de las operaciones se atribuye al Ministerio de Seguridad del Estado de China y, en particular, a su oficina de Shanghái, conocida por sus siglas en inglés como SSSB. Traducido: Estados Unidos no lo presenta como un delincuente digital que roba por cuenta propia, sino como una pieza dentro de un ecosistema híbrido, mitad empresa privada, mitad inteligencia estatal.

La parte más sensible del expediente se sitúa en los primeros meses de 2020, cuando el mundo empezaba a hundirse en la pandemia y los laboratorios trabajaban a contrarreloj. Según la acusación estadounidense, Xu y otros operadores habrían atacado universidades, inmunólogos y virólogos que investigaban vacunas, tratamientos y pruebas diagnósticas contra la COVID-19. En un punto concreto del caso, las autoridades sostienen que Xu informó a un oficial de seguridad chino de que había comprometido la red de una universidad de investigación ubicada en el sur de Texas y que después recibió instrucciones para acceder a buzones de correo de científicos implicados en esas investigaciones. No hablamos, por tanto, de un supuesto robo abstracto de “datos”, esa palabra tan blanda que parece no tocar nada. Hablamos de correos, laboratorios, hipótesis, resultados preliminares, material científico en plena emergencia mundial.

El interés de ese tipo de información resulta evidente incluso sin entrar en teorías de espías con gabardina. En 2020, saber qué equipos avanzaban, qué tratamientos funcionaban, qué líneas fallaban y qué instituciones acumulaban conocimiento útil podía tener valor sanitario, económico, industrial y estratégico. La ciencia iba a toda velocidad, pero también la competencia. En una pandemia, una vacuna no es solo una vacuna: es reputación, influencia, mercado, diplomacia, poder blando y capacidad de negociación. Un vial diminuto puede pesar como un portaaviones.

Hafnium, Microsoft Exchange y la gran herida de 2021

La segunda pata del caso lleva a Hafnium, un nombre químico para una historia bastante menos limpia que una tabla periódica. Microsoft identificó públicamente en marzo de 2021 a Hafnium como un actor patrocinado por un Estado, con base en China, que estaba explotando vulnerabilidades de día cero en versiones locales de Microsoft Exchange Server. Dicho de forma sencilla: fallos desconocidos o recién descubiertos en servidores de correo que permitían entrar, leer cuentas, instalar puertas traseras y mantener acceso dentro de organizaciones afectadas. La palabra “servidor” suena seca, casi administrativa, pero un servidor de correo es muchas veces la memoria viva de una institución. Ahí están decisiones, informes, contratos, avisos internos, peleas discretas, nombres propios.

El Departamento de Justicia estadounidense sostiene que Xu participó también en esa campaña, que comprometió miles de ordenadores en todo el mundo, incluidos sistemas en Estados Unidos. El FBI elevó la dimensión de la intrusión al afirmar que Hafnium apuntó a más de 60.000 entidades estadounidenses y logró victimizar a más de 12.700. Son cifras de escala industrial. No una cerradura forzada, sino una urbanización entera con las puertas abiertas.

La acusación añade que, tras explotar los servidores Microsoft Exchange, los operadores instalaban web shells, herramientas que permiten administrar de forma remota un sistema comprometido. La jerga puede sonar a herramienta inocente, como una llave inglesa digital, pero en este contexto equivale a dejar una trampilla oculta en la casa ajena. Aunque la víctima cierre la puerta principal, el intruso conserva otro acceso, silencioso, pegado al sótano. Entre las víctimas citadas por el Departamento de Justicia aparecen otra universidad del sur de Texas y un despacho internacional de abogados con oficinas en Washington. En ese bufete, según la acusación, los atacantes buscaron información relacionada con responsables políticos y agencias estadounidenses.

Aquí el caso deja de ser solo sanitario. Entra en el terreno clásico del espionaje: universidades, firmas jurídicas, instituciones con información sensible, palabras de búsqueda orientadas a temas de Estado. La pandemia fue el primer escenario; Microsoft Exchange, el gran tablero. Y en medio, Xu, al que Washington coloca como operador dentro de una campaña mucho más amplia.

La defensa: error de identidad, delito político y una cuenta bajo sospecha

La versión de la defensa va por otro carril. Los abogados Enrico Giarda y Simona Candido intentaron frenar la extradición argumentando que Estados Unidos estaba atribuyendo a Xu un delito de naturaleza política en un contexto de espionaje internacional entre China y Estados Unidos. Ese matiz no es menor. En los procedimientos de extradición, la calificación política de un delito puede convertirse en un muro jurídico. No siempre aguanta, pero se levanta precisamente para impedir que una entrega penal encubra una persecución política.

Los jueces italianos no aceptaron esa tesis. La Corte de Apelación de Milán sostuvo que a la conducta atribuida no podía reconocérsele una “valencia ciertamente política” y describió los ataques a universidades estadounidenses dedicadas a vacunas contra la COVID-19 como hechos inspirados más por lógicas económicas y competitivas entre potencias globales que por una finalidad política estricta. El razonamiento es interesante, casi quirúrgico: incluso si el telón de fondo es el choque entre Estados, robar información industrial y científica puede seguir siendo un delito extraditable. La geopolítica no lo lava todo.

Xu, por su parte, ha defendido su inocencia y ha sostenido que pudo ser víctima de un error de persona. Según recogieron medios italianos, explicó que sus datos personales, su correo y sus contactos quedaron en la empresa para la que había trabajado cuando la dejó en 2018, y planteó la posibilidad de que otra persona utilizara después su ordenador o su cuenta. Es una línea defensiva reconocible en delitos informáticos: la identidad digital no siempre coincide de manera limpia con la persona física. Un nombre de usuario, una cuenta, una IP, un dispositivo, una credencial robada o reutilizada… todo eso puede señalar, pero también puede engañar. La cuestión será si en Estados Unidos la fiscalía logra convertir ese rastro técnico en prueba sólida ante un tribunal.

La justicia italiana, sin embargo, consideró que la identificación de Xu como autor de las intrusiones no podía descartarse de entrada ni calificarse de absolutamente incierta. En el expediente se habla de un vínculo objetivo entre el ciudadano chino y la cuenta presuntamente usada para cometer los delitos. Esa es la frase fría del caso, la frase que pesa. “Vínculo objetivo”. Dos palabras con bata blanca, pero capaces de subir a alguien a un avión rumbo a Estados Unidos.

Qué penas puede afrontar y por qué el caso pesa tanto

Xu llega a Estados Unidos bajo una acusación grave. Según el Departamento de Justicia, los cargos de conspiración para cometer fraude electrónico y fraude electrónico pueden acarrear penas máximas de 20 años de prisión por cada cargo; otros delitos relacionados con acceso no autorizado a ordenadores protegidos contemplan penas máximas de cinco años; los daños intencionados a sistemas informáticos pueden llegar a 10 años; y el robo agravado de identidad suma una pena máxima de dos años. Son máximos legales, no una condena automática. Conviene repetirlo porque en estos casos la cifra se convierte enseguida en martillo de titulares. Xu está acusado, no condenado, y conserva la presunción de inocencia.

La relevancia del caso no nace solo de las penas. Nace del contexto. Estados Unidos lleva años acusando a China de utilizar redes de contratistas privados para ejecutar operaciones de ciberespionaje con plausible distancia oficial. Una arquitectura cómoda: empresas tecnológicas, expertos informáticos, encargos puntuales, capas intermedias, mucho humo alrededor de la autoría. El Departamento de Justicia describe precisamente ese modelo en este caso: compañías chinas que identifican sistemas vulnerables, los explotan y después venden o entregan información útil al Estado o a terceros. El viejo espionaje con nombres modernos. Antes se abría una cartera en un hotel; ahora se abre un servidor mal parcheado.

Para Washington, capturar a un presunto operador de una campaña así tiene valor penal y también simbólico. La mayoría de los acusados en causas de ciberespionaje internacional nunca pisa un tribunal estadounidense. Permanecen en países que no extraditan, bajo protección directa o indirecta, o simplemente fuera de alcance. Por eso una detención durante un viaje a Europa cambia el tablero. El mensaje es sencillo y algo teatral, como suelen ser los mensajes entre Estados: puedes sentirte lejos, pero un aeropuerto aliado puede convertirse en frontera judicial.

China, como ha ocurrido en otros episodios de ciberacusaciones, ha rechazado de forma reiterada las imputaciones estadounidenses de espionaje informático patrocinado por el Estado. En este caso concreto, el expediente se mueve ahora ya en el sistema judicial de Estados Unidos, donde la fiscalía deberá probar sus acusaciones con documentos, registros técnicos, comunicaciones y peritajes. La política grita mucho, pero en sala cuentan otras cosas: trazas, fechas, servidores, cuentas, instrucciones, cadena de custodia. Papel y silicio.

El botín más codiciado: ciencia, correos y ventaja estratégica

La acusación contra Xu permite ver una transformación que a veces se cuenta con demasiada frialdad: la investigación científica se ha convertido en infraestructura estratégica. Durante la pandemia se habló de hospitales, respiradores, mascarillas y vacunas. Todo eso era visible, tangible, casi físico. Pero debajo estaba el otro hospital: el de los datos. Bases de investigación, ensayos, modelos, secuencias, correos entre equipos, resultados antes de publicar. El laboratorio también vive en servidores. Y si el laboratorio vive en servidores, también puede ser atacado.

En ese punto, la presunta operación atribuida a Xu encaja en una lógica de época. La frontera entre espionaje político, robo industrial y ventaja científica se ha vuelto porosa. Una universidad puede ser objetivo porque investiga una vacuna, un bufete porque maneja información sobre agencias públicas, una empresa porque conoce proveedores, un servidor de correo porque contiene conversaciones que nadie pensó que fueran estratégicas hasta que alguien las robó. La información ya no duerme en archivadores. Respira en la nube, circula por bandejas de entrada, se copia en discos, viaja por cables submarinos. Y ahí, en ese tráfico invisible, los Estados han encontrado un campo de batalla barato, persistente y muy rentable.

También hay una enseñanza menos épica y más doméstica: las vulnerabilidades técnicas no son asuntos de informáticos encerrados en sótanos. Cuando Microsoft publicó en marzo de 2021 los detalles sobre los ataques contra Exchange y lanzó parches de emergencia, el problema afectaba a organizaciones de sectores enteros. No era solo “actualice su software”, esa frase que muchos leen con la misma atención con la que miran un prospecto de aspirinas. Era cerrar una ventana por la que podían entrar actores estatales, grupos criminales y oportunistas de toda clase. En ciberseguridad, la pereza administrativa tiene precio.

Un expediente que ya no cabe en una terminal

La extradición de Xu Zewei deja una fotografía incómoda: un ingeniero chino detenido en Italia, reclamado por Estados Unidos, acusado de actuar bajo dirección de estructuras de seguridad chinas, defendido por abogados que hablan de error de identidad y de trasfondo político, y situado en el centro de una disputa donde la ciencia, la economía y la inteligencia se pisan los zapatos. No hay todavía sentencia. Hay acusación, entrega, proceso y una defensa que tendrá que pelear contra un expediente construido durante años.

Lo que sí queda claro es que el caso ya no pertenece solo a Xu. Pertenece a una época en la que una pandemia también se libra en buzones de correo, en la que una universidad puede ser objetivo estratégico y en la que un viaje por Europa puede terminar en una extradición a Texas. La imagen es casi absurda, pero exacta: el mundo digital, tan etéreo cuando conviene venderlo, acaba aterrizando en lugares muy concretos. Una puerta de embarque. Un tribunal. Una celda. Un servidor con una cicatriz antigua.