TSMC、クラウドベンダーに責任転嫁――ハッカーが従業員データを3BTCで売却

台湾半導体製造会社（TSMC）の従業員約46,000人の個人情報が、ハッカーによってオークション形式で約3BTCで出品されている。

TSMCは木曜日のデータ侵害に関する確認において、自社のシステムが侵害されたわけではないと明らかにした。チップメーカーはこの事案を外部サプライヤーのせいだと非難した。

約7GBに及ぶTSMC従業員46,000人の個人データが、DarkForumsやBreachForumsなどの地下フォーラムで出品され、売り手は関心のある購入者に対して約NT$7.4百万（約22万米ドル）を要求している。

売り手は1週間の入札期間を設定した。期限までに取引が成立しなかった場合、セットを無料で公開すると脅している。

ハッカーたちはどのようにしてTSMC従業員のデータにアクセスしたのか？

台積電 Ajna 木曜日の声明で、一部の元従業員および現従業員の情報が外部ウェブサイトに無断で掲載されていたと明らかにした。台湾の半導体メーカーは、内部システムの侵害に関する噂を否定し、その主張を裏付ける証拠は見つからなかったと指摘した。

同社は、露見したデータにはチップの生産情報や顧客情報は含まれておらず、クラウドサービスプロバイダーが保持する記録と一致すると述べた。

TSMCは、すでに匿名のベンダーおよび外部のサイバーセキュリティ企業や調査機関と協力して、侵害の根本原因を追跡していると語った。また、今回のインシデントで影響を受けた従業員への通知を開始したとも明かした。

同社は、関係者の人数については確認しなかった。

台積電 第3四半期の純利益はNT$763.064億（米ドル換算で228億9,000万ドル）を報告し、主に先進ノードからの収益によって牽引された。

TSMCのハッカーは何のデータを盗んだのか？

この窃取物が実際に存在することを証明するため、販売者は「tsmc.txt」という名前のサンプルファイルを公開し、そこには19項目のフィールドを持つ499件のレコードが含まれていた。

報道によると、攻撃者が販売のために公開したTSMCの従業員データには、氏名、生年月日、職位、国籍、国民ID番号、自宅住所、個人携帯電話番号、およびメールアドレスが含まれています。盗まれた銀行口座の詳細は、氏名、電話番号、住所を含む従業員の緊急連絡先の二次的な漏洩につながりました。

漏えいしたデータの組み合わせは、影響を受けた人々にとってフィッシングやソーシャルエンジニアリング攻撃の格好の餌となります。さらに、露見した組織図が人材引き抜きにつながるというより大きな問題もあります。

TSMCでのハッキング事件は、 台湾企業における第三者のデータ侵害と資金流出の 一連の出来事に追加されるものであり、これには求人プラットフォームの104、ECプラットフォームの91APP、中信銀行（SinoPac Bank）、旅行サイトのeztravelなどが含まれます。

TSMCは過去にもハッキング被害を受けています

TSMCに関連する直近のデータ侵害事件は2023年6月に発生し、ロックビット（LockBit）ランサムウェア集団が同社をリークサイトに掲載した後、7,000万ドルの身代金を要求しました。この侵害では、TSMCのITハードウェアサプライヤーであるKinmax Technologyも関与しており、そのテスト環境でサーバー設定ファイルが漏洩しました。

Bitdefenderは報告しています その後、LockBitはTSMC自体に侵入していないと判断したため、要求額を大幅に引き下げた。 台積電 Kinmaxとのデータ交換を停止し、顧客情報は関与していないと述べた。

台湾の個人データ保護法では、データ処理を外部委託した場合でも責任が免除されることはなく、影響を受けた労働者はNT$500 ～NT$20,00まで請求でき、事件ごとに最大NT$200百万まで上限がある。