L’arresto di Xu Zewei è uno dei colpi più importanti di un 2025 «memorabile» per la divisione cyber del Federal Bureau of Investigation. A scriverlo è la stessa agenzia di polizia federale degli Stati Uniti in un post su X che racconta di 299 rinvii a giudizio, 173 arresti, 25 estradizioni, 239 perquisizioni e 19 reti criminali smantellate.
2025 was a memorable year for #FBI Cyber, which advanced its mission to impose costs on global adversaries. Key facts behind the numbers:
✔️ In May, the FBI and our partners disrupted LummaC2, the most popular infostealer service available in online criminal markets,… pic.twitter.com/9pmEPSFpQZ
— FBI Cyber Division (@FBICyberDiv) February 18, 2026
Il 27 gennaio la Corte d’Appello di Milano ha dichiarato «l’esistenza delle condizioni per l’accoglimento della domanda di estradizione» degli Stati Uniti per l’ingegnere cinese trentatreenne arrestato il 3 luglio dell’anno scorso dalla Polizia a Malpensa su mandato degli Stati Uniti, accusato di essere una «spia», agli ordini del ministero della Sicurezza di Stato cinese, in particolare della sede di Shanghai. Secondo un’inchiesta del Bureau, avrebbe fatto parte di un team di hacker che avrebbe sottratto informazioni anche su terapie e vaccini anti-Covid nel 2020. Sull’estradizione l’ultima parola spetterà al Ministero della Giustizia.
Ma gli avvocati difensori, Enrico Giarda e Simona Candido, hanno deciso di fare ricorso. Prima, dunque, ci sarà un giudizio anche della Cassazione. La difesa aveva chiesto di respingere la richiesta di estradizione, facendo presente che gli Stati Uniti hanno contestato all’uomo, che si è sempre dichiarato innocente e anzi vittima di un errore di persona, un «reato politico» in un «contesto di spionaggio internazionale» tra Cina e Stati Uniti e per i reati politici non è possibile l’estradizione. I giudici, però, nelle venti pagine del provvedimento avevano concordato che alla condotta contestata di spionaggio non si può riconoscere una «valenza certamente politica». In particolare, «l’hackeraggio dei server delle università» americane, che producevano i vaccini anti-Covid, «appaiono ispirate più da logiche economiche concorrenziali tra potenze globali e dalla finalità di carpire informazioni di primario rilievo industriale e scientifico».
Nella nota diffusa a luglio, dopo l’arresto di Xu e Zhang Yu, 44 anni, il dipartimento di Giustizia degli Stati Uniti aveva evidenziato altri due elementi. Primo: il ruolo nella campagna Hafnium, che ha sfruttato vulnerabilità zero-day di Microsoft Exchange Server compromettendo migliaia di sistemi nel mondo, oltre 12.700 negli Stati Uniti. Secondo: secondo Washington, l’operazione sarebbe stata coordinata dall’intelligence cinese e condotta tramite società private “abilitatrici”, così da mascherare il coinvolgimento statale.
Negli Stati Uniti, Xu rischia fino a 20 anni. Il coimputato Zhang Yu è, invece, latitante.
