Taiwan Semiconductor Manufacturing Company (TSMC) bestätigte, dass persönliche Informationen von Tausenden aktueller und ehemaliger Mitarbeitender auf Untergrund‑Foren erschienen sind, wobei ein Hacker etwa 3 BTC (ca. NT$7,4 Millionen) für die Daten verlangt. Der Vorfall, der am 12. November gemeldet wurde, reiht sich in eine Reihe von Drittanbieter‑Incidents bei taiwanesischen Unternehmen ein.

BTC / USD
Quelle: CoinGecko. Kurse sind Richtwerte.

Umfang der geleakten Daten

Laut Cryptopolitan hat der Verkäufer etwa 7 GB an Dateien hochgeladen, die Datensätze von rund 46.000 Mitarbeitenden enthalten. Eine Beispieldatei namens „tsmc.txt“ zeigte 499 Einträge mit je 19 Feldern, darunter Namen, Geburtsdaten, Berufsbezeichnungen, Nationalitäten, Ausweisnummern, Wohnadressen, private Telefonnummern und E‑Mail‑Adressen. Bankkontodaten und Notfall‑Kontaktinformationen gehörten ebenfalls zum Leak und bieten reichlich Material für Phishing‑ und Social‑Engineering‑Angriffe.

TSMC‑Reaktion und Ursache

TSMC gab eine Stellungnahme ab, dass die Daten ohne Genehmigung auf externen Seiten erschienen seien und dass die internen Systeme nicht kompromittiert wurden. Das Unternehmen führte die Offenlegung auf einen Cloud‑Service‑Provider zurück, der von einem nicht genannten Lieferanten genutzt wird, und kooperiert mit externen Cyber‑Security‑Firmen und Ermittlern, um die Ursache zu ermitteln. TSMC begann zudem, betroffene Mitarbeitende zu benachrichtigen, bestätigte jedoch nicht die genaue Zahl der Betroffenen.

Kontext und rechtlicher Hintergrund

Der Vorfall folgt einem Leak im Juni 2023, das mit einem Drittanbieter‑Hardware‑Lieferanten, Kinmax Technology, verknüpft war und zunächst eine Ransomware‑Forderung auslöste, die später reduziert wurde. Nach Taiwans Personal Data Protection Act bleiben Unternehmen für von Auftragnehmern verarbeitete Daten haftbar, und betroffene Arbeitende können Entschädigungen von NT$500 bis NT$20.000 pro Person fordern, mit einer Obergrenze von NT$200 Millionen pro Vorfall.

Ausblick

Beobachter werden prüfen, ob die Hacker die Zahlung vor Ablauf der einwöchigen Frist erhalten und ob die Daten danach kostenlos veröffentlicht werden. Die laufende Untersuchung von TSMC könnte zudem weitere Sicherheitslücken bei Drittanbietern aufdecken und zu einer breiteren Prüfung von Lieferketten‑Datenpraktiken im taiwanesischen Halbleitersektor führen.