Firma Taiwan Semiconductor Manufacturing Company potwierdziła, że dane osobowe należące do obecnych i byłych pracowników zostały ujawnione na zewnętrznej stronie internetowej bez zezwolenia – naruszenie to, według wielu doniesień prasowych, dotyczy około 46 000 rekordów wystawionych na sprzedaż przez hakera żądającego 3 Bitcoinów.
Firma ujawniła incydent w oświadczeniu złożonym w amerykańskiej Komisji Papierów Wartościowych i Giełd w dniu 12 listopada 2026 r., podpisanym przez starszego wiceprezesa i dyrektora finansowego Wendella Huanga. TSMC to największy na świecie kontraktowy producent chipów, produkujący zaawansowane procesory w sercu boomu sztucznej inteligencji, dlatego nawet naruszenie danych pracowników – a nie danych klientów czy produkcji, jak podkreśla firma – odbiło się szerokim echem w branży technologicznej. Więcej kontekstu na ten temat znajdziesz w naszych najnowsze osiągnięcia AI.
Co faktycznie mówi zgłoszenie SEC TSMC
Zgłoszenie ma niezwykle specyficzny charakter w przypadku ujawnienia informacji dotyczących bezpieczeństwa. Oświadczenie TSMC, zatytułowane „Oświadczenie dotyczące nieautoryzowanego dostępu do danych osobowych pracowników”, brzmi częściowo:
> „TSMC stwierdziło, że niektóre dane naszych obecnych i byłych pracowników zostały udostępnione na zewnętrznej stronie internetowej bez zezwolenia. Obecnie nie znaleźliśmy żadnych dowodów na to, że systemy TSMC zostały naruszone. Informacje te zostały zweryfikowane pod kątem zgodności z danymi przechowywanymi w usługach systemowych dostawcy usług w chmurze, ale nie mają one związku z działalnością firmy ani danymi dotyczącymi klientów.”
Firma oświadczyła, że informuje dotknięty personel i zapewnia wsparcie, a także zaangażowała „zarówno dostawcę usług w chmurze, odpowiednie organy prowadzące dochodzenie, jak i zewnętrzną agencję ds. cyberbezpieczeństwa, aby wspólnie ustalili fakty i podjęli niezbędne działania”.
Mówiąc wprost: dane nie wyciekły z sieci własnych TSMC. Odpowiadało to zapisom przechowywanym w systemach zewnętrznego dostawcy usług w chmurze – dotyczyło to narażenia w łańcuchu dostaw, a nie bezpośredniego wtargnięcia do producenta chipów.
Żądanie okupu: 46 000 rekordów za 3 Bitcoiny
Chociaż w zgłoszeniu TSMC nie określono ilościowo ujawnionych danych, wiele punktów sprzedaży zgłosiło skalę i cenę. Moneycontrol poinformował, że hakerzy zajęli 46 000 rekordów pracowników i zażądali około 220 000 dolarów, czyli około 3 bitcoinów. Chosunbiz poinformował, że po wycieku do chmury haker wystawił na sprzedaż 46 000 danych pracowników TSMC, a w reportażu Cryptonews opisano, że dane trafią na aukcję po cenie 3 BTC, odnotowując jednocześnie tak zwane nagromadzenie naruszeń łańcucha dostaw na Tajwanie. FourWeekMBA podało, że wielkość zasobów wynosi około 6,9 GB, a zapotrzebowanie jest różnie podawane na poziomie 7,4 miliona dolarów tajwańskich.
Liczby te pochodzą z twierdzeń samego sprzedawcy i danych prasowych, a nie z TSMC, które nie potwierdziło liczby rekordów, rozmiaru plików ani żądania okupu. To, co potwierdziła firma, jest węższe i ważniejsze: ujawniono dane obecnych i byłych pracowników, źródłem były systemy dostawcy usług w chmurze i nie dotyczyły ani jego operacji, ani danych klientów.
Dlaczego to ma znaczenie, nawet jeśli fabryki mają się dobrze
TSMC poinformowało placówki, że nie miało to wpływu na jej systemy produkcyjne, a w oświadczeniu SEC wyraźnie zaznaczono granicę między ujawnionymi dokumentami pracowników a „danymi operacyjnymi firmy lub dotyczącymi klientów”. Dla branży sztucznej inteligencji to rozróżnienie to cała historia: linie produkcyjne produkujące akceleratory Nvidii i inne pionierskie chipy AI nie zostały dotknięte.
Mimo to incydent powoduje rzeczywiste narażenie innego rodzaju, jak GuruFocus zauważył w swoim reportażu: ryzyko związane z prywatnością i przepisami dla firmy o kluczowym znaczeniu dla globalnego łańcucha dostaw sztucznej inteligencji. Naruszenia danych pracowników pociągają za sobą obowiązek powiadamiania w różnych jurysdykcjach, a spółka notowana na giełdzie potwierdzająca incydent w zgłoszeniu do SEC zachęca inwestorów do zadawania pytań na temat zarządzania ryzykiem dostawcy – pytania, które zostaną teraz postawione w kolejnym cyklu zysków TSMC.
Lekcja strukturalna jest tą, którą zespoły ds. bezpieczeństwa powtarzają od dziesięciu lat: Twoje zabezpieczenia są tak dobre, jak praktyki dostawców danych stosowane przez Twoich dostawców. Najbardziej wyrafinowany producent chipów na świecie utracił kontrolę nad dokumentacją pracowniczą nie za pośrednictwem własnych systemów, ale za pośrednictwem usługodawcy przechowującego jego dane.
Jeszcze jeden siniak w burzliwym tygodniu
Ujawnienie nastąpiło podczas i tak już chaotycznego okresu związanego z infrastrukturą technologiczną. Tego samego dnia Microsoft walczył o przywrócenie globalnej przerwy w świadczeniu usług Microsoft 365, w tym Outlooka i Teams, a Nvidia ogłosiła rezygnację wieloletniego dyrektora generalnego Jensena Huanga – wiadomość z pierwszych stron gazet w branży. W jednym z przeglądów wiadomości technologicznych opisano 12 listopada jako „burzliwy dzień dla globalnego przemysłu technologicznego”, a TSMC potwierdziło, że wyciek danych nastąpił w jego środku.
Nie ma sugerowanego związku między wydarzeniami, ale zbieżność ilustruje środowisko, w którym działają zespoły ds. bezpieczeństwa przedsiębiorstw: kilka z najważniejszych na świecie firm technologicznych zarządza głośnymi awariami i ujawnieniami w jednym cyklu informacyjnym.
Co będzie dalej
TSMC twierdzi, że współpracuje z dostawcą chmury, organami śledczymi i zewnętrzną agencją ds. cyberbezpieczeństwa w celu ustalenia faktów. Pracownicy, których dane zostały ujawnione, są powiadamiani i zapewniane jest im wsparcie, co w kontekście Tajwanu może skutkować podjęciem działań regulacyjnych w ramach obowiązującego na wyspie systemu ochrony danych osobowych.
Obserwuj rozwój trzech wątków: czy śledczy potwierdzają, czy twierdzenia osoby atakującej dotyczące rozmiaru i zawartości zbioru danych, czy też je obalają; co wynika z analizy kryminalistycznej dostawcy usług w chmurze na temat sposobu, w jaki dane opuściły jego systemy; oraz czy praktyki zarządzania dostawcami stosowane przez TSMC – a także innych tajwańskich gigantów technologicznych, które doświadczyły serii naruszeń – podlegają kontroli regulacyjnej. Dla branży, która stara się zapewnić moc obliczeniową boomu sztucznej inteligencji, ten odcinek przypomina, że powierzchnia ataku łańcucha dostaw wykracza daleko poza fabrykę.
---
Bądź na Bieżąco z AINajnowsze wiadomości, analizy i przełomy w dziedzinie AI — wszystko w jednym miejscu.
Czytaj więcej wiadomości AI →
