บริษัทผู้ผลิตเซมิคอนดักเตอร์ของไต้หวันยืนยันว่าข้อมูลส่วนบุคคลของพนักงานปัจจุบันและอดีตถูกเปิดเผยบนเว็บไซต์ภายนอกโดยไม่ได้รับอนุญาต ซึ่งเป็นการละเมิดตามรายงานข่าวหลายฉบับที่เกี่ยวข้องกับบันทึกประมาณ 46,000 รายการที่แฮ็กเกอร์เสนอขายโดยเรียกร้อง 3 Bitcoin
บริษัทเปิดเผยเหตุการณ์ดังกล่าวในแถลงการณ์ที่ยื่นต่อสำนักงานคณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์สหรัฐฯ เมื่อวันที่ 12 พฤศจิกายน 2569 ซึ่งลงนามโดยรองประธานอาวุโสและประธานเจ้าหน้าที่ฝ่ายการเงิน Wendell Huang TSMC เป็นผู้ผลิตชิปตามสัญญารายใหญ่ที่สุดของโลกและผลิตโปรเซสเซอร์ขั้นสูงที่เป็นหัวใจสำคัญของการเติบโตของ AI ซึ่งเป็นสาเหตุที่ทำให้แม้แต่การละเมิดข้อมูลพนักงาน ไม่ใช่ข้อมูลลูกค้าหรือการผลิต บริษัทเน้นย้ำว่าส่งเสียงสะท้อนผ่านอุตสาหกรรมเทคโนโลยี For more context on this story, see our ongoing latest AI developments.
สิ่งที่การยื่น SEC ของ TSMC พูดจริง ๆ
การยื่นดังกล่าวมีความเฉพาะเจาะจงอย่างผิดปกติสำหรับการเปิดเผยข้อมูลด้านความปลอดภัย คำแถลงของ TSMC ซึ่งมีชื่อว่า "คำแถลงเกี่ยวกับการเข้าถึงข้อมูลส่วนบุคคลของพนักงานโดยไม่ได้รับอนุญาต" มีเนื้อหาบางส่วนดังนี้:
> "TSMC พบว่าข้อมูลพนักงานปัจจุบันและอดีตบางส่วนของเราถูกเผยแพร่บนเว็บไซต์ภายนอกโดยไม่ได้รับอนุญาต ในปัจจุบัน เราไม่พบหลักฐานว่าระบบของ TSMC ถูกบุกรุก ข้อมูลนี้ได้รับการตรวจสอบเพื่อให้ตรงกับข้อมูลที่จัดเก็บไว้ในบริการระบบของผู้ให้บริการระบบคลาวด์ แต่ไม่เกี่ยวข้องกับการดำเนินงานของบริษัทหรือข้อมูลที่เกี่ยวข้องกับลูกค้า"
บริษัทกล่าวว่าได้แจ้งบุคลากรที่ได้รับผลกระทบและให้การสนับสนุนแล้ว และได้ว่าจ้าง "ทั้งผู้ขายบริการคลาวด์ หน่วยงานสืบสวนที่เกี่ยวข้อง และหน่วยงานความปลอดภัยทางไซเบอร์บุคคลที่สาม เพื่อร่วมกันยืนยันข้อเท็จจริงและดำเนินการที่จำเป็น"
พูดง่ายๆ ก็คือ ข้อมูลไม่ได้รั่วไหลจากเครือข่ายของ TSMC โดยตรงกับบันทึกที่เก็บไว้โดยระบบของผู้ให้บริการคลาวด์บุคคลที่สาม การเปิดเผยข้อมูลในห่วงโซ่อุปทาน ไม่ใช่การบุกรุกโดยตรงไปยังผู้ผลิตชิป
การเรียกร้องค่าไถ่: 46,000 บันทึกสำหรับ 3 Bitcoin
แม้ว่าการยื่นฟ้องของ TSMC ไม่ได้ระบุปริมาณข้อมูลที่เปิดเผย แต่ร้านค้าหลายแห่งก็รายงานขนาดและป้ายราคา Moneycontrol รายงานว่าแฮกเกอร์อ้างสิทธิ์ในบันทึกของพนักงาน 46,000 คน และเรียกร้องเงินประมาณ 220,000 ดอลลาร์ หรือประมาณ 3 Bitcoin Chosunbiz รายงานว่าแฮ็กเกอร์โฆษณาบันทึกพนักงาน TSMC จำนวน 46,000 รายเพื่อขายหลังจากการรั่วไหลของคลาวด์ และความครอบคลุมที่ได้รับจาก Cryptonews บรรยายถึงข้อมูลที่จะประมูลที่ 3 BTC ในขณะที่สังเกตเห็นสิ่งที่เรียกว่าการละเมิดห่วงโซ่อุปทานที่กองพะเนินเทินทึกของไต้หวัน FourWeekMBA รายงานขุมทรัพย์ที่ประมาณ 6.9 GB โดยความต้องการต่าง ๆ อ้างถึงประมาณ NT$7.4 ล้าน
ตัวเลขเหล่านี้มาจากการเรียกร้องของผู้ขายและการรวมสื่อมากกว่าจาก TSMC ซึ่งยังไม่ได้ยืนยันจำนวนบันทึก ขนาดไฟล์ หรือความต้องการค่าไถ่ สิ่งที่บริษัทได้รับการยืนยันนั้นแคบกว่าและสำคัญกว่า: ข้อมูลพนักงานปัจจุบันและอดีตถูกเปิดเผย แหล่งที่มาคือระบบของผู้ให้บริการคลาวด์ และไม่มีการดำเนินการและข้อมูลลูกค้าไม่เกี่ยวข้อง
เหตุใดจึงสำคัญแม้ว่าโรงงานจะไม่เป็นไรก็ตาม
TSMC บอกกับร้านค้าต่างๆ ว่าระบบการผลิตของบริษัทไม่ได้รับผลกระทบ และคำแถลงของ ก.ล.ต. ได้ขีดเส้นแบ่งที่ชัดเจนระหว่างบันทึกของพนักงานที่ถูกเปิดเผยและ "การดำเนินงานของบริษัทหรือข้อมูลที่เกี่ยวข้องกับลูกค้า" สำหรับอุตสาหกรรม AI ความแตกต่างนั้นเป็นเรื่องราวทั้งหมด: สายการผลิตที่ผลิตตัวเร่งความเร็วของ Nvidia และชิป AI ระดับแนวหน้าอื่น ๆ ไม่ได้แตะต้องเลย
อย่างไรก็ตาม เหตุการณ์ดังกล่าวทำให้เกิดการเปิดเผยข้อมูลที่แท้จริงในรูปแบบที่แตกต่างออกไป ดังที่ GuruFocus สังเกตเห็นในความครอบคลุม: ความเป็นส่วนตัวและความเสี่ยงด้านกฎระเบียบสำหรับบริษัทที่เป็นศูนย์กลางของห่วงโซ่อุปทาน AI ระดับโลก การละเมิดข้อมูลพนักงานทำให้เกิดภาระผูกพันในการแจ้งเตือนทั่วทั้งเขตอำนาจศาล และบริษัทจดทะเบียนที่ยืนยันเหตุการณ์ในการยื่นคำร้องของ SEC เชิญชวนให้นักลงทุนถามคำถามเกี่ยวกับการบริหารความเสี่ยงของผู้ขาย ซึ่งเป็นคำถามที่จะตามมาในรอบรายได้ถัดไปของ TSMC
บทเรียนเชิงโครงสร้างคือทีมรักษาความปลอดภัยทีมหนึ่งที่ทำซ้ำๆ กันมานานนับทศวรรษ: การป้องกันของคุณจะดีพอๆ กับแนวทางปฏิบัติด้านข้อมูลของผู้จำหน่ายของคุณเท่านั้น ผู้ผลิตชิปที่มีความซับซ้อนมากที่สุดในโลกสูญเสียการควบคุมบันทึกของพนักงานไม่ใช่ผ่านระบบของตัวเอง แต่ผ่านทางผู้ให้บริการที่เก็บข้อมูลของตนไว้
อีกหนึ่งรอยช้ำในสัปดาห์ปั่นป่วน
การเปิดเผยข้อมูลเกิดขึ้นในช่วงที่โครงสร้างพื้นฐานทางเทคโนโลยีวุ่นวายอยู่แล้ว ในวันเดียวกันนั้น Microsoft กำลังดิ้นรนเพื่อฟื้นฟูการหยุดให้บริการ Microsoft 365 ทั่วโลก รวมถึง Outlook และ Teams และ Nvidia ประกาศว่า Jensen Huang ซีอีโอที่รู้จักกันมานานได้ลาออกแล้ว ซึ่งเป็นข่าวหน้าแรกของอุตสาหกรรม บทสรุปข่าวเทคโนโลยีรายการหนึ่งอธิบายว่าวันที่ 12 พฤศจิกายนเป็น "วันที่วุ่นวายสำหรับอุตสาหกรรมเทคโนโลยีทั่วโลก" โดย TSMC ยืนยันว่าข้อมูลรั่วไหลมาถึงในระหว่างนั้น
ไม่มีความเชื่อมโยงระหว่างเหตุการณ์ดังกล่าว แต่ความบังเอิญนี้แสดงให้เห็นสภาพแวดล้อมที่ทีมรักษาความปลอดภัยขององค์กรดำเนินงานใน: บริษัทเทคโนโลยีที่สำคัญที่สุดของโลกหลายแห่งที่จัดการความล้มเหลวและการเปิดเผยข้อมูลที่มีชื่อเสียงภายในรอบข่าวเดียว
จะเกิดอะไรขึ้นต่อไป
TSMC กล่าวว่ากำลังทำงานร่วมกับผู้จำหน่ายระบบคลาวด์ เจ้าหน้าที่สืบสวน และหน่วยงานรักษาความปลอดภัยทางไซเบอร์ภายนอก เพื่อสร้างข้อเท็จจริง พนักงานที่ถูกเปิดเผยข้อมูลจะได้รับแจ้งและให้การสนับสนุน ซึ่งในบริบทของไต้หวันอาจมีการปฏิบัติตามกฎระเบียบภายใต้ระบบการคุ้มครองข้อมูลส่วนบุคคลของเกาะ
ดู 3 หัวข้อที่กำลังพัฒนา: ไม่ว่าการอ้างสิทธิ์ของผู้โจมตีเกี่ยวกับขนาดและเนื้อหาของชุดข้อมูลนั้นได้รับการตรวจสอบหรือหักล้างโดยผู้ตรวจสอบหรือไม่ สิ่งที่การตรวจสอบทางนิติเวชของผู้ให้บริการคลาวด์เผยให้เห็นว่าข้อมูลออกจากระบบอย่างไร และแนวปฏิบัติด้านการจัดการผู้ขายของ TSMC และของยักษ์ใหญ่ด้านเทคโนโลยีของไต้หวันที่เผชิญกับการละเมิดหลายครั้งหรือไม่นั้น จะต้องได้รับการตรวจสอบตามกฎระเบียบ สำหรับอุตสาหกรรมที่เร่งรีบในการจัดหาคอมพิวเตอร์ของ AI ที่กำลังบูม ตอนนี้เป็นการเตือนใจว่าพื้นผิวการโจมตีของห่วงโซ่อุปทานนั้นขยายออกไปเกินขอบเขตการผลิต
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
