Taiwan Semiconductor Manufacturing Company, il più grande produttore di chip a contratto del mondo e pietra angolare della catena di fornitura di hardware AI, ha confermato che i dati personali appartenenti ai suoi dipendenti sono stati pubblicati online dopo l'accesso non autorizzato ai sistemi di uno dei suoi fornitori di servizi cloud. L’azienda afferma che i propri sistemi non sono stati compromessi.

In una dichiarazione depositata presso la Securities and Exchange Commission degli Stati Uniti come modulo 6-K, intitolata "Dichiarazione relativa all'accesso non autorizzato ai dati personali dei dipendenti", TSMC ha affermato di non aver trovato prove che la propria infrastruttura sia stata violata e che i dati esposti non siano correlati alle sue operazioni o alle informazioni dei clienti, secondo un riepilogo del documento pubblicato da MLQ.ai. La società ha affermato che sta informando il personale interessato e sta collaborando con il fornitore del cloud, le autorità investigative competenti e una società di sicurezza informatica esterna per stabilire cosa è successo.

Cosa è noto e cosa non lo è

La divulgazione della società lascia aperte importanti domande. TSMC non ha nominato il fornitore di servizi cloud coinvolto, non ha detto quanti dipendenti sono stati colpiti e non ha elencato esattamente quali dati sono stati esposti.

I resoconti della stampa taiwanese aggiungono dettagli che TSMC stessa non ha confermato. Wccftech, citando precedenti resoconti apparsi sui media di Taiwan, ha riferito che i file trapelati coprono circa 46.000 record di dipendenti (il titolo del quotidiano ne menzionava 49.000) inclusi indirizzi, numeri di conto bancario e dettagli di contatto di emergenza, e che gli aggressori hanno chiesto un riscatto di tre bitcoin minacciando di rilasciare i dati. Questi dettagli dovrebbero essere considerati non confermati: la dichiarazione ufficiale di TSMC non verifica l'entità della fuga di notizie, le categorie di dati o la richiesta di riscatto.

La distinzione tra i due insiemi di fatti è importante. Ciò che è confermato è che è stato effettuato l'accesso ai dati personali dei dipendenti conservati presso un fornitore di servizi cloud senza autorizzazione e che TSMC li tratta come un incidente di sicurezza che richiede un'indagine esterna. Ciò che non è confermato è la portata precisa dell’esposizione.

Una settimana difficile per il gigante dei chip

La divulgazione arriva durante un periodo movimentato per l’azienda. All'inizio della stessa settimana, il consiglio di amministrazione di TSMC ha approvato investimenti fino a 1 miliardo di dollari in Anthropic e OpenAI, secondo il rapporto MLQ.ai - una mossa trattata separatamente da questo giornale - approfondendo il coinvolgimento finanziario del produttore di chip con i principali sviluppatori di intelligenza artificiale forniti dai suoi impianti di fabbricazione. E giovedì, le azioni dei chip di Taiwan sono scese mentre il mercato assorbiva le turbolenze che circondavano l'amministratore delegato di Nvidia, mandando tremori nel settore dei semiconduttori dell'isola.

La giustapposizione sottolinea una realtà strutturale del boom dell’intelligenza artificiale: TSMC è al centro di quasi ogni sviluppo dell’intelligenza artificiale di frontiera, fabbricando gli acceleratori che addestrano e gestiscono i modelli più grandi per Nvidia, AMD e un elenco crescente di clienti di silicio personalizzato. Qualsiasi interruzione operativa dell’azienda – anche un incidente relativo ai dati delle risorse umane presso un fornitore cloud di terze parti piuttosto che un compromesso produttivo – attira l’attenzione perché gran parte dell’economia dell’intelligenza artificiale dipende dai suoi risultati.

Rischio di terze parti nella catena di fornitura dell'intelligenza artificiale

L’incidente costituisce anche un caso di studio nel perimetro di sicurezza delle aziende moderne. La dichiarazione di TSMC è esplicita sul fatto che la violazione si è verificata presso un fornitore di servizi cloud, non nell'ambiente di TSMC. Eppure i dati trapelati erano quelli di TSMC: gli indirizzi dei suoi dipendenti e, secondo quanto riferito, i loro dettagli bancari. A tutti gli effetti pratici, l'azienda è responsabile delle conseguenze reputazionali e umane del fallimento del suo fornitore.

Questo modello è diventato familiare in tutto il settore tecnologico, ma ha un peso particolare per le aziende che operano nella catena dell’hardware AI. I produttori di chip conservano dati sensibili di processo, file di progettazione dei clienti e informazioni sulla capacità che sarebbero preziosi sia per i concorrenti che per gli attori statali. In questo caso, TSMC ha affermato che i dati esposti erano informazioni personali dei dipendenti non correlate alle sue operazioni o ai suoi clienti, ma l'incidente illustra comunque come le relazioni nella catena di fornitura moltiplichino il numero di luoghi in cui risiedono i dati sensibili di un'azienda e il numero di sistemi di cui deve fidarsi.

TSMC ha affermato che sta collaborando con una società di sicurezza informatica esterna e con le autorità per determinare cosa è successo e la divulgazione del modulo 6-K suggerisce che la società sta trattando la questione come materiale per gli investitori. Se i resoconti della stampa taiwanese fossero accurati, il numero di dipendenti interessati sarebbe elevato anche per gli standard delle violazioni dei dati aziendali. La società non ha confermato tale cifra e ulteriori dettagli potrebbero emergere man mano che l'indagine procede.

Cosa succede dopo

Diverse domande aperte determineranno quanto consequenziale diventi questo incidente. L'identità del fornitore di servizi cloud rimane segreta e tale risposta sarà importante sia per le relazioni con i fornitori di TSMC sia per il modo in cui altri produttori di chip valutano i propri accordi con terze parti. Il conteggio confermato dei dipendenti interessati – e con precisione quali categorie di dati sono state esposte – determinerà l’impatto pratico sul personale, dal rischio di furto di identità all’esposizione a frodi finanziarie se i dettagli bancari fossero effettivamente inclusi nella fuga di notizie.

C’è anche la questione se la richiesta di riscatto segnalata sia autentica e se ne consegua un pagamento o una negoziazione. Le richieste di riscatto pubblicate online sono talvolta gonfiate o fraudolente, motivo per cui la decisione di TSMC di non confermare i dettagli non verificati è prudente. I dipendenti interessati dall’incidente riceveranno presumibilmente una notifica diretta dall’azienda con indicazioni sulle misure di protezione.

Per l’industria dei semiconduttori in generale, l’episodio probabilmente spingerà a riconsiderare dove sono ospitati i dati operativi e HR sensibili e in base a quali obblighi di sicurezza contrattuale. Mentre l’indagine continua, l’industria osserverà non solo ciò che dice TSMC, ma anche ciò che cambia.

Stai al passo con l'intelligenza artificiale

La catena di fornitura dell’hardware AI non dorme mai. Stai al passo con l'intelligenza artificiale con i report di AI Buzz Wire su chip, aziende e investimenti che alimentano il settore.

Leggi altre notizie sull'AI →