台湾半導体製造株式会社（TSMC）は、現在および元従業員数千人分の個人情報が地下フォーラムに流出し、ハッカーが約3 BTC（約NT$7.4 百万）でデータを要求していることを確認した。11月12日に報告されたこの漏洩は、台湾企業を狙ったサードパーティ事故の連鎖に加わるものです。

BTC / USD
出典：CoinGecko。価格は参考値です。

漏洩データの範囲

Cryptopolitanによると、売り手は約46,000名分の記録を含む約7 GBのファイルをアップロードした。サンプルファイル「tsmc.txt」には499件が含まれ、各件は氏名、出生年月日、職位、国籍、身分証番号、住所、個人電話番号、メールアドレスなど19項目で構成されている。銀行口座情報や緊急連絡先も漏洩しており、フィッシングやソーシャルエンジニアリング攻撃に利用できる豊富な情報源となっている。

TSMCの対応と原因

TSMCは声明で、データが外部サイトに無断で掲載されたが内部システムは侵害されていないと発表した。同社は、名前の出ていないベンダーが利用するクラウドサービスプロバイダーが原因であるとし、外部のサイバーセキュリティ企業や捜査機関と協力して根本原因の特定に努めている。また、影響を受けた従業員への通知を開始したが、正確な人数は明らかにしていない。

背景と法的枠組み

この事件は、2023年6月にサードパーティのハードウェア供給業者Kinmax Technologyに起因する漏洩に続くもので、当時はランサムウェアの要求が後に減額された。台湾の個人データ保護法（PDPA）では、委託先が扱うデータについても企業が責任を負い、影響を受けた労働者はNT$500からNT$20,000までの補償を請求でき、1件あたりの上限はNT$200 百万となっている。

今後の注目点

観測者はハッカーが1週間の期限内に支払いを受けられるか、期限後にデータが無料で公開されるかを注視するだろう。また、TSMCの継続的な調査により追加のサードパーティセキュリティギャップが明らかになる可能性があり、台湾半導体セクターのサプライチェーンにおけるデータ管理慣行への広範な監視が高まることが予想される。