Taiwan Semiconductor Manufacturing Company (TSMC) подтвердила, что личная информация тысяч текущих и бывших сотрудников появилась на подпольных форумах, а хакер потребовал примерно 3 BTC (около 7,4 млн NT$) за данные. Утечка, о которой сообщили 12 ноября, добавляет к серии инцидентов с третьими сторонами, затронувших тайваньские компании.

BTC / USD
Источник: CoinGecko. Цены ориентировочные.

Объём утекших данных

Согласно Cryptopolitan, продавец загрузил около 7 ГБ файлов, содержащих записи примерно 46 000 сотрудников. Пример файла «tsmc.txt» показал 499 записей, каждая из которых включала 19 полей: имена, даты рождения, должности, национальности, номера удостоверений, домашние адреса, личные телефоны и электронные почты. Также в утечке присутствовали банковские реквизиты и контактные данные для экстренных случаев, что создает богатый материал для фишинга и социнженерии.

Ответ TSMC и причина

TSMC выпустила заявление, что данные появились на внешних сайтах без авторизации и её внутренние системы не были скомпрометированы. Компания объяснила утечку поставщиком облачных услуг, использующимся неизвестным вендором, и сотрудничает с внешними фирмами по кибербезопасности и следователями для выявления причины. TSMC также начала уведомлять затронутых сотрудников, хотя точное число пострадавших не подтверждено.

Контекст и правовая база

Инцидент следует за утечкой в июне 2023 года, связанной с поставщиком аппаратного обеспечения Kinmax Technology, когда потребовали выкуп, позже уменьшенный. По Закону о защите персональных данных Тайваня компании несут ответственность за данные, обрабатываемые подрядчиками, а пострадавшие работники могут требовать компенсацию от 500 до 20 000 NT$ каждый, с общим лимитом 200 млн NT$ за инцидент.

Что будет дальше

Наблюдатели будут следить, успеют ли хакеры получить оплату до истечения недельного срока и будет ли информация опубликована бесплатно после него. Дальнейшее расследование TSMC может выявить дополнительные уязвимости у сторонних поставщиков, что вызовет более широкую проверку практик защиты данных в цепочке поставок полупроводников Тайваня.