Công ty Sản xuất Chất bán dẫn Đài Loan, nhà sản xuất chip theo hợp đồng lớn nhất thế giới và là nền tảng của chuỗi cung ứng phần cứng AI, đã xác nhận rằng dữ liệu cá nhân của nhân viên của họ đã được đăng trực tuyến sau khi truy cập trái phép vào hệ thống tại một trong những nhà cung cấp đám mây của họ. Công ty cho biết hệ thống của họ không bị xâm phạm.

Trong một tuyên bố nộp cho Ủy ban Chứng khoán và Giao dịch Hoa Kỳ dưới dạng Mẫu 6-K, có tiêu đề “Tuyên bố về việc truy cập trái phép dữ liệu cá nhân của nhân viên”, TSMC cho biết họ không tìm thấy bằng chứng nào cho thấy cơ sở hạ tầng của chính họ bị vi phạm và dữ liệu bị lộ không liên quan đến hoạt động của họ hoặc thông tin khách hàng, theo bản tóm tắt hồ sơ do MLQ.ai công bố. Công ty cho biết họ đang thông báo cho nhân viên bị ảnh hưởng và làm việc với nhà cung cấp đám mây, cơ quan điều tra có liên quan và một công ty an ninh mạng bên ngoài để xác định điều gì đã xảy ra.

Điều gì đã biết - và Điều gì chưa

Tiết lộ của công ty để lại những câu hỏi quan trọng. TSMC chưa nêu tên nhà cung cấp đám mây có liên quan, chưa cho biết có bao nhiêu nhân viên bị ảnh hưởng và chưa liệt kê chính xác dữ liệu nào bị lộ.

Báo chí Đài Loan đưa tin thêm chi tiết mà bản thân TSMC chưa xác nhận. Wccftech, trích dẫn báo cáo trước đó trên các phương tiện truyền thông của Đài Loan, cho biết các tập tin bị rò rỉ bao gồm khoảng 46.000 hồ sơ nhân viên – tiêu đề của cửa hàng trích dẫn 49.000 – bao gồm địa chỉ, số tài khoản ngân hàng và chi tiết liên hệ khẩn cấp và những kẻ tấn công yêu cầu một khoản tiền chuộc là 3 bitcoin trong khi đe dọa tiết lộ dữ liệu. Những chi tiết này phải được coi là chưa được xác nhận: Tuyên bố chính thức của TSMC không xác minh quy mô rò rỉ, danh mục dữ liệu hoặc yêu cầu tiền chuộc.

Sự khác biệt giữa hai tập hợp sự kiện này rất quan trọng. Điều được xác nhận là dữ liệu cá nhân của nhân viên được lưu giữ tại nhà cung cấp đám mây đã bị truy cập trái phép và TSMC đang coi đó là một sự cố bảo mật cần phải điều tra bên ngoài. Điều chưa được xác nhận là phạm vi tiếp xúc chính xác.

Một tuần khó khăn cho gã khổng lồ Chip

Việc tiết lộ diễn ra trong một khoảng thời gian đầy sự kiện của công ty. Đầu tuần đó, hội đồng quản trị của TSMC đã phê duyệt khoản đầu tư lên tới 1 tỷ USD vào Anthropic và OpenAI, theo báo cáo của MLQ.ai – một động thái được hãng này đề cập riêng – làm sâu sắc thêm mối ràng buộc tài chính của nhà sản xuất chip với các nhà phát triển AI hàng đầu mà các nhà máy chế tạo của họ cung cấp. Và vào thứ Năm, cổ phiếu chip của Đài Loan đã giảm khi thị trường hấp thụ tình trạng hỗn loạn xung quanh giám đốc điều hành của Nvidia, gây chấn động khắp lĩnh vực bán dẫn của hòn đảo.

Sự đặt cạnh nhau nhấn mạnh thực tế cấu trúc của sự bùng nổ AI: TSMC nằm ở trung tâm của hầu hết mọi hoạt động phát triển AI tiên tiến, chế tạo các máy gia tốc đào tạo và vận hành các mô hình lớn nhất cho Nvidia, AMD và danh sách khách hàng silicon tùy chỉnh ngày càng tăng. Bất kỳ sự gián đoạn hoạt động nào tại công ty – thậm chí là sự cố dữ liệu nhân sự tại nhà cung cấp đám mây bên thứ ba chứ không phải là sự thỏa hiệp trong sản xuất – đều thu hút sự chú ý vì phần lớn nền kinh tế AI phụ thuộc vào đầu ra của nó.

Rủi ro của bên thứ ba trong chuỗi cung ứng AI

Vụ việc này cũng là một trường hợp điển hình về phạm vi bảo mật của các công ty hiện đại. Tuyên bố của TSMC nêu rõ rằng vi phạm xảy ra tại một nhà cung cấp đám mây chứ không phải trong môi trường riêng của TSMC. Tuy nhiên, dữ liệu bị rò rỉ là dữ liệu của TSMC - địa chỉ của nhân viên và thông tin chi tiết về ngân hàng của họ. Đối với tất cả các mục đích thực tế, công ty phải chịu những hậu quả về mặt danh tiếng và con người do sự thất bại của nhà cung cấp.

Mô hình đó đã trở nên quen thuộc trong ngành công nghệ, nhưng nó có sức nặng đặc biệt đối với các công ty trong chuỗi phần cứng AI. Các nhà sản xuất chip nắm giữ dữ liệu quy trình nhạy cảm, tệp thiết kế của khách hàng và thông tin năng lực sẽ có giá trị đối với các đối thủ cạnh tranh cũng như các chủ thể nhà nước. Trong trường hợp này, TSMC cho biết dữ liệu bị lộ là thông tin cá nhân của nhân viên không liên quan đến hoạt động hoặc khách hàng của công ty - nhưng vụ việc vẫn cho thấy mối quan hệ trong chuỗi cung ứng đã nhân lên số lượng nơi lưu trữ dữ liệu nhạy cảm của công ty và số lượng hệ thống mà công ty phải tin cậy.

TSMC cho biết họ đang làm việc với một công ty an ninh mạng bên ngoài và các cơ quan chức năng để xác định điều gì đã xảy ra và tiết lộ trong Mẫu 6-K cho thấy công ty đang coi vấn đề này là quan trọng đối với các nhà đầu tư. Nếu báo chí Đài Loan đưa tin về quy mô là chính xác, số lượng nhân viên bị ảnh hưởng sẽ rất lớn ngay cả so với tiêu chuẩn về vi phạm dữ liệu của công ty. Công ty chưa xác nhận con số đó và các chi tiết khác có thể xuất hiện khi cuộc điều tra được tiến hành.

Điều gì xảy ra tiếp theo

Một số câu hỏi mở sẽ định hình mức độ hậu quả của sự cố này. Danh tính của nhà cung cấp đám mây vẫn chưa được tiết lộ và câu trả lời đó sẽ quan trọng đối với cả mối quan hệ với nhà cung cấp của TSMC và cách các nhà sản xuất chip khác đánh giá các thỏa thuận bên thứ ba của họ. Số lượng nhân viên bị ảnh hưởng đã được xác nhận - và chính xác loại dữ liệu nào bị lộ - sẽ xác định tác động thực tế đối với nhân viên, từ nguy cơ bị đánh cắp danh tính đến nguy cơ gian lận tài chính nếu chi tiết ngân hàng thực sự có trong vụ rò rỉ.

Ngoài ra còn có câu hỏi liệu nhu cầu tiền chuộc được báo cáo có phải là thật hay không và liệu có bất kỳ khoản thanh toán hoặc thương lượng nào sau đó hay không. Các yêu cầu đòi tiền chuộc được đăng trực tuyến đôi khi bị thổi phồng hoặc gian lận, đó là một lý do khiến quyết định của TSMC không xác nhận các chi tiết chưa được xác minh là khôn ngoan. Những nhân viên bị ảnh hưởng bởi sự cố có thể sẽ nhận được thông báo trực tiếp từ công ty kèm theo hướng dẫn về các bước bảo vệ.

Đối với ngành công nghiệp bán dẫn nói chung, sự kiện này có thể gợi lên một cái nhìn mới về nơi lưu trữ dữ liệu vận hành và nhân sự nhạy cảm cũng như các nghĩa vụ bảo mật theo hợp đồng. Khi cuộc điều tra tiếp tục, ngành công nghiệp sẽ theo dõi không chỉ những gì TSMC nói mà còn cả những thay đổi của nó.

Đi trước AI

Chuỗi cung ứng phần cứng AI không bao giờ ngủ. Đi trước AI với báo cáo của AI Buzz Wire về chip, công ty và các khoản đầu tư hỗ trợ lĩnh vực này.

Đọc thêm tin tức về AI →