Taiwan Semiconductor Manufacturing Company heeft bevestigd dat persoonlijke gegevens van huidige en voormalige werknemers zonder toestemming op een externe website zijn geplaatst – een inbreuk waarbij volgens meerdere nieuwsberichten ongeveer 46.000 records betrokken zijn die te koop worden aangeboden door een hacker die 3 Bitcoin eist.
Het bedrijf maakte het incident bekend in een verklaring die op 12 november 2026 werd ingediend bij de Amerikaanse Securities and Exchange Commission, ondertekend door Senior Vice President en Chief Financial Officer Wendell Huang. TSMC is 's werelds grootste contractchipmaker en produceert de geavanceerde processors die de kern vormen van de AI-boom. Daarom weergalmde zelfs een inbreuk op werknemersgegevens – en niet op klant- of productiegegevens, zo benadrukt het bedrijf – door de technologie-industrie. Voor meer context over dit verhaal, zie ons AI-nieuws.
Wat de SEC-aanvraag van TSMC eigenlijk zegt
De indiening is ongebruikelijk specifiek voor een openbaarmaking van effecten. De verklaring van TSMC, getiteld "Verklaring over de ongeoorloofde toegang tot persoonlijke gegevens van werknemers", luidt gedeeltelijk:
> "TSMC heeft ontdekt dat sommige van onze huidige en voormalige werknemersgegevens zonder toestemming beschikbaar zijn gesteld op een externe website. Momenteel hebben we geen bewijs gevonden dat de systemen van TSMC zijn gecompromitteerd. Deze informatie is geverifieerd en komt overeen met gegevens die zijn opgeslagen in de systeemdiensten van een cloudserviceprovider, maar houdt geen verband met de activiteiten van het bedrijf of klantgerelateerde gegevens."
Het bedrijf zei dat het getroffen personeel heeft geïnformeerd en ondersteuning heeft geboden, en dat het "zowel de leverancier van de cloudservices, de relevante onderzoeksautoriteiten als een derde cyberbeveiligingsbureau heeft ingeschakeld om gezamenlijk de feiten vast te stellen en de nodige maatregelen te nemen."
In duidelijke bewoordingen: de gegevens lekten niet uit de eigen netwerken van TSMC. Het kwam overeen met de gegevens van de systemen van een externe cloudprovider – een blootstelling aan de toeleveringsketen, geen directe inbreuk op de chipmaker.
De losgeldclaim: 46.000 records voor 3 Bitcoin
Hoewel de indiening van TSMC de blootgestelde gegevens niet kwantificeert, rapporteerden meerdere verkooppunten de omvang en het prijskaartje. Moneycontrol meldde dat hackers 46.000 werknemersgegevens claimden en ongeveer 220.000 dollar eisten – ongeveer 3 Bitcoin. Chosunbiz meldde dat een hacker 46.000 TSMC-werknemerrecords te koop had aangeboden na het cloudlek, en de door Cryptonews opgepikte berichtgeving beschreef de gegevens die bij 3 BTC werden geveild, terwijl hij nota nam van wat het Taiwan's opeenstapeling van inbreuken op de toeleveringsketen noemde. FourWeekMBA rapporteerde een schat van ongeveer 6,9 GB, waarbij de vraag op verschillende manieren rond NT$ 7,4 miljoen werd genoemd.
Deze cijfers zijn afkomstig van de eigen claims van de verkoper en de pers, en niet van TSMC, die het aantal records, de bestandsgrootte of de vraag om losgeld niet heeft bevestigd. Wat het bedrijf heeft bevestigd is beperkter en belangrijker: de gegevens van huidige en voormalige werknemers zijn openbaar gemaakt, de bron was de systemen van een cloudserviceprovider en er waren noch de activiteiten, noch de klantgegevens bij betrokken.
Waarom het ertoe doet, zelfs als de fabrieken in orde zijn
TSMC vertelde verkooppunten dat zijn productiesystemen onaangetast waren, en de SEC-verklaring trekt een duidelijke grens tussen de blootgestelde werknemersgegevens en ‘de activiteiten van het bedrijf of klantgerelateerde gegevens’. Voor de AI-industrie is dat onderscheid het hele verhaal: de productielijnen voor de versnellers van Nvidia en andere grensverleggende AI-chips werden niet aangeraakt.
Toch introduceert het incident echte blootstelling van een ander soort, zoals GuruFocus in zijn berichtgeving opmerkte: privacy- en regelgevingsrisico's voor een bedrijf dat centraal staat in de mondiale AI-toeleveringsketen. Datalekken van werknemers leiden tot meldingsverplichtingen in alle rechtsgebieden, en een beursgenoteerd bedrijf dat een incident in een SEC-aanvraag bevestigt, nodigt investeerders uit om vragen te stellen over leveranciersrisicobeheer – vragen die nu de volgende inkomstencyclus van TSMC zullen volgen.
De structurele les is de les die beveiligingsteams al tien jaar herhalen: uw verdediging is slechts zo goed als de datapraktijken van uw leveranciers. De meest geavanceerde chipmaker ter wereld verloor de controle over werknemersgegevens, niet via zijn eigen systemen, maar via een dienstverlener die zijn gegevens bewaarde.
Nog een blauwe plek in een turbulente week
De onthulling kwam terecht tijdens een toch al chaotisch traject voor de technologische infrastructuur. Diezelfde dag had Microsoft moeite met het herstellen van een wereldwijde uitval van Microsoft 365-services, waaronder Outlook en Teams, en Nvidia kondigde aan dat oud-CEO Jensen Huang was afgetreden – voorpaginanieuws in de hele branche. In een overzicht van technologienieuws werd 12 november beschreven als "een turbulente dag voor de mondiale technologie-industrie", waarbij TSMC's bevestiging van het datalek er middenin arriveerde.
Er is geen verband tussen de gebeurtenissen, maar het toeval illustreert de omgeving waarin beveiligingsteams van ondernemingen opereren: verschillende van 's werelds meest kritische technologiebedrijven beheren spraakmakende mislukkingen en onthullingen binnen één enkele nieuwscyclus.
Wat gebeurt er daarna
TSMC zegt dat het samenwerkt met de cloudleverancier, onderzoeksautoriteiten en een extern cyberbeveiligingsbureau om de feiten vast te stellen. Werknemers van wie de gegevens zijn vrijgegeven, worden op de hoogte gebracht en bieden ondersteuning, die in de context van Taiwan mogelijk toezicht houdt op grond van het regime voor de bescherming van persoonsgegevens op het eiland.
Bekijk drie onderwerpen terwijl dit zich ontwikkelt: of de beweringen van de aanvaller over de omvang en inhoud van de dataset door onderzoekers worden gevalideerd of ontkracht; wat het forensisch onderzoek van de cloudserviceprovider onthult over hoe de gegevens zijn systemen verlieten; en of de leveranciersmanagementpraktijken van TSMC – en die van andere Taiwanese technologiegiganten, die met een reeks inbreuken te maken hebben gehad – onder toezicht van de toezichthouder staan. Voor een industrie die racet om de computer van de AI-explosie te leveren, herinnert deze aflevering eraan dat het aanvalsoppervlak van de toeleveringsketen veel verder reikt dan de fabrieksvloer.
---
Blijf Voorop met AIHet laatste AI-nieuws, analyses en doorbraken — allemaal op één plek.
Lees meer AI-nieuws →
