Taiwan Semiconductor Manufacturing Company har bekräftat att personuppgifter som tillhör nuvarande och tidigare anställda exponerades på en extern webbplats utan tillstånd – ett brott som, enligt flera nyhetsrapporter, involverar ungefär 46 000 poster som erbjuds till försäljning av en hacker som kräver 3 Bitcoin.
Företaget avslöjade incidenten i ett uttalande som lämnades in till US Securities and Exchange Commission den 12 november 2026, undertecknat av Senior Vice President och Chief Financial Officer Wendell Huang. TSMC är världens största kontraktstillverkare av chip och tillverkar de avancerade processorerna i hjärtat av AI-boomen, vilket är anledningen till att även en intrång i personaldata – och inte kund- eller tillverkningsdata, betonar företaget – gav eko i teknikindustrin. For more context on this story, see our ongoing more AI stories.
Vad TSMC:s SEC-fil faktiskt säger
Registreringen är ovanligt specifik för ett säkerhetsavslöjande. TSMC:s uttalande, med titeln "Uttalande om obehörig åtkomst till anställdas personuppgifter", lyder delvis:
> "TSMC har funnit att en del av våra nuvarande och tidigare anställdas data gjordes tillgängliga på en extern webbplats utan auktorisation. För närvarande har vi inte hittat några bevis för att TSMC:s system har äventyrats. Denna information har verifierats för att matcha data som lagras i en molntjänstleverantörs systemtjänster, men är inte relaterad till företagets verksamhet eller kundrelaterad data."
Företaget sa att det har informerat berörd personal och tillhandahållit support, och att det har engagerat "både molntjänstleverantören, de relevanta utredande myndigheterna och en tredje parts cybersäkerhetsbyrå för att gemensamt ta reda på fakta och vidta nödvändiga åtgärder."
Enkelt uttryckt: data läckte inte från TSMC:s egna nätverk. Det matchade register som innehas av en tredjeparts molnleverantörs system – en exponering för leveranskedjan, inte ett direkt intrång i chiptillverkaren.
Lösenanspråket: 46 000 poster för 3 Bitcoin
Medan TSMC:s anmälan inte kvantifierar de exponerade uppgifterna, rapporterade flera butiker skalan och prislappen. Moneycontrol rapporterade att hackare gjorde anspråk på 46 000 anställdas register och krävde ungefär $220 000 - cirka 3 Bitcoin. Chosunbiz rapporterade att en hacker annonserade ut 46 000 TSMC-anställda poster till försäljning efter molnläckan, och täckning som plockades upp av Cryptonews beskrev data som gick ut på auktion på 3 BTC samtidigt som den noterade vad den kallade Taiwans hög av intrång i leveranskedjan. FourWeekMBA rapporterade att värdet var cirka 6,9 GB, med efterfrågan som citerades på olika sätt runt NT$7,4 miljoner.
Dessa siffror härrör från säljarens egna påståenden och presssammanställning snarare än från TSMC, som inte har bekräftat antalet rekord, filstorlek eller krav på lösen. Vad företaget har bekräftat är snävare och viktigare: nuvarande och tidigare anställdas data exponerades, källan var en molntjänstleverantörs system, och varken dess verksamhet eller kunddata var inblandade.
Varför det spelar roll även när fabs är bra
TSMC berättade för försäljningsställen att dess tillverkningssystem var opåverkade, och SEC-uttalandet drar en ljus linje mellan de exponerade anställdas register och "företagets verksamhet eller kundrelaterade data." För AI-industrin är den distinktionen hela historien: tillverkningslinjerna som producerar Nvidias acceleratorer och andra gränsöverskridande AI-chips berördes inte.
Ändå introducerar incidenten verklig exponering av ett annat slag, som GuruFocus observerade i sin täckning: integritets- och regulatorisk risk för ett företag centralt i den globala AI-försörjningskedjan. Anställdas dataintrång utlöser anmälningsskyldigheter över jurisdiktioner, och ett börsnoterat företag som bekräftar en incident i en SEC-anmälan bjuder in frågor från investerare om leverantörsriskhantering – frågor som nu kommer att följa TSMC:s nästa intjäningscykel.
Den strukturella lärdomen är den som säkerhetsteam har upprepat i ett decennium: ditt försvar är bara lika bra som dina leverantörers datapraxis. Den mest sofistikerade chiptillverkaren på planeten förlorade kontrollen över anställdas register, inte genom sina egna system, utan genom en tjänsteleverantör som innehar dess data.
Ännu ett blåmärke på en turbulent vecka
Avslöjandet landade under en redan kaotisk sträcka för teknisk infrastruktur. Samma dag kämpade Microsoft för att återställa ett globalt avbrott i Microsoft 365-tjänster, inklusive Outlook och Teams, och Nvidia meddelade att den mångårige vd Jensen Huang hade sagt upp sig - förstasidans nyheter i branschen. En teknisk nyhetssammanfattning beskrev den 12 november som "en turbulent dag för den globala teknikindustrin", med TSMC:s bekräftelse på att dataläckan anlände mitt i den.
Det finns inget förslag på samband mellan händelserna, men sammanträffandet illustrerar miljön som företagssäkerhetsteam verkar i: flera av världens mest kritiska teknikföretag som hanterar högprofilerade misslyckanden och avslöjanden inom en enda nyhetscykel.
Vad händer härnäst
TSMC säger att de arbetar tillsammans med molnleverantören, utredande myndigheter och en extern cybersäkerhetsbyrå för att fastställa fakta. Anställda vars data har avslöjats underrättas och erbjuds support, vilket i Taiwans sammanhang kan genomföra reglerad uppföljning under öns regler för skydd av personuppgifter.
Se tre trådar när detta utvecklas: om angriparens påståenden om datasetets storlek och innehåll valideras eller avfärdas av utredare; vad den rättsmedicinska granskningen av molntjänstleverantören avslöjar om hur data lämnade dess system; och huruvida TSMC:s leverantörshanteringsmetoder – och de hos andra taiwanesiska teknikjättar, som har stått inför en rad överträdelser – drar till sig regulatorisk granskning. För en bransch som tävlar om att leverera AI-boomens beräkningar är avsnittet en påminnelse om att leveranskedjans attackyta sträcker sig långt bortom det fantastiska golvet.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
