TSMC, 클라우드 업체 탓… 해커가 직원 데이터 3 BTC에 판매

약 46,000명의 대만반도체제조공사(TSMC) 직원들의 개인 정보가 해커들에 의해 경매를 통해 약 3 BTC에 판매되고 있습니다.

TSMC는 목요일의 데이터 유출 확인 발표에서 자사 시스템이 침해되지 않았다고 명확히 했습니다. 이 사건은 외부 공급업체의 탓으로 돌렸습니다.

거의 7GB 분량의 46,000명 TSMC 직원 개인 데이터가 DarkForums와 BreachForums 등 지하 포럼에 공개되었으며, 판매자는 관심 있는 구매자에게 약 NT$7.4백만(미화 $220,000)을 요구했습니다.

판매자는 1주일간 입찰을 개시했으며, 기한 내에 거래가 성사되지 않으면 데이터를 무료로 배포하겠다고 위협했습니다.

해커들은 어떻게 TSMC 직원 데이터에 접근했는가?

TSMC 확인 목요일 성명서에서 일부 전직 및 현직 직원의 정보가 외부 웹사이트에 무단으로 게시되었다고 밝혔다. 대만 기반 반도체 기업은 내부 시스템 침해 루머를 일축하며, 해당 주장을 뒷받침할 증거는 발견되지 않았다고 덧붙였다.

공개된 데이터에는 칩 생산 또는 고객 정보가 포함되지 않으며, 클라우드 서비스 제공업체가 보유한 기록과 일치한다고 설명했다.

TSMC는 이미 미명의 공급업체와 외부 사이버 보안 기업 및 조사 기관과 협력하여 침해 사고의 근본 원인을 추적 중이라고 밝혔다. 또한 사건에 노출된 직원들에게 통보를 시작했다고 덧붙였다.

해당 기업은 관련자 수를 확인하지 않았다.

TSMC Q3 순이익 7630억 6400만 뉴달러(약 228억 9000만 달러)를 보고했으며, 이는 주로 첨단 공정 노드에서의 매출 증가에 힘입은 것이다.

TSMC 해커는 어떤 데이터를 탈취했는가?

해킹 결과가 실제임을 입증하기 위해 판매자는 499건의 레코드와 각각 19개의 필드를 포함하는 샘플 파일 'tsmc.txt'를 공개했다.

보고서에 따르면 공격자가 판매용으로 내놓은 TSMC 직원 데이터에는 이름, 생년월일, 직위, 국적, 주민등록번호, 주소, 개인 휴대전화 번호 및 이메일이 포함됩니다. 유출된 은행 계좌 정보는 직원들의 비상 연락처(이름, 전화번호, 주소 등)에 대한 2차 노출로 이어졌습니다.

유출된 데이터의 조합은 피해자들에게 피싱 및 사회공학적 공격의 주요 재료가 됩니다. 또한 노출된 조직도가 인재 스카우팅으로 이어질 수 있다는 더 큰 규모의 문제도 있습니다.

TSMC 해킹 사건은 최근 제3자 데이터 유출 및 대만 기업들(구인 플랫폼 104, 이커머스 플랫폼 91APP, 스타벅스뱅크(SinoPac Bank), 여행사 eztravel 등)을 타격한 자금 인출 사건들과 함께 이어지고 있습니다.

TSMC는 이전에 해킹당한 적이 있습니다.

TSMC가 관여한 최근 데이터 유출 사건은 2023년 6월에 발생했으며, 당시 LockBit 랜섬웨어 그룹은 회사를 자신의 누설 사이트에 게시한 후 7천만 달러의 몸값을 요구했습니다. 해당 유출 사건에는 TSMC IT 하드웨어 공급업체 중 하나인 Kinmax Technology도 포함되었으며, 이 회사의 테스트 환경에서 서버 설정 파일이 유출되었습니다.

Bitdefender는 보고했습니다 LockBit는 TSMC 자체를 침범하지 않았다는 사실을 깨달은 후 요구 사항을 대폭 줄였습니다. TSMC Kinmax와의 데이터 교환을 중단했으며 고객 정보는 포함되지 않았다고 밝혔습니다.

대만의 개인정보보호법에 따르면 데이터를 외부에 위탁한 기업도 책임을 면할 수 없으며, 피해 근로자는 NT$500 NT$20,00까지 청구할 수 있으며, 사고당 최대 NT$200백만으로 제한됩니다.