要約:
世界最大のファウンドリ企業である TSMC は最近、一部の現従業員および元従業員の個人情報が許可なく外部 Web サイトに掲載されていることを確認しました。 TSMCは、予備調査では同社の情報システムが侵害された証拠は見つからなかったと述べた。関与したデータはサードパーティのクラウド サービス プロバイダーのシステムに保存されている情報と一致していましたが、TSMC の運用業務、企業秘密、顧客関連データは含まれていませんでした。
TSMC は 11 月 12 日に米国証券取引委員会 (SEC) に 6-K 文書を提出し、従業員の個人情報の漏洩を正式に明らかにしました。同社は従業員の個人情報の一部が外部ウェブサイトに無断で投稿されていたことを確認したと発表した。現在入手可能な情報は、その情報がクラウド サービス プロバイダーのシステム サービスに保存されているデータと一致することを示しています。
TSMC は、現時点で社内システムが侵害されたという証拠はなく、このインシデントに生産運用情報や顧客データが関与していることは判明していないと強調しました。同社は影響を受ける現従業員および元従業員に通知し、必要なサポートを提供しています。同時に、TSMCは関連するクラウドサービスプロバイダー、調査機関、サードパーティのネットワークセキュリティ機関と協力して、特定のインシデントを特定し、対応する措置を講じています。
TSMC が関与したクラウド サービス プロバイダーの名前を明らかにしていないこと、また、影響を受けた従業員の数や関与した個人情報の種類も明らかにしていないことは注目に値します。
この事件に関する関連する手がかりは、以前にもサイバー犯罪フォーラムに掲載されていました。サイバーセキュリティ メディアによると、11 月 8 日、正体不明のサイバー犯罪者が TSMC 従業員のデータを販売したというニュースを地下フォーラムに投稿しました。彼は従業員の記録が約 46,000 件、総データ量が 6.9 GB であると主張し、購入者に 3 ビットコイン (当時で約 20 万米ドル) を支払うよう求めました。出版社はまた、1週間以内に購入者がいない場合はすべてのデータを公開すると脅迫した。
台湾のメディアの報道によると、関連フォーラムに表示された一部のデータサンプルには、従業員の名前、ID 番号、銀行口座情報などの機密情報が含まれていると言われています。しかし、これらの内容は依然としてサイバー犯罪者による一方的な発言です。 TSMCは、漏洩したデータの量、ファイルサイズ、特定の情報カテゴリを正式に確認しておらず、フォーラムで販売されたデータが同社が開示した事件と正確に一致しているかどうかも確認していない。
TSMC が提出した規制文書から判断すると、同社は現在、サードパーティのクラウド サービス プロバイダーのデータ セキュリティ問題に焦点を当てて調査を行っています。関連情報はクラウドサービスプロバイダーのシステムに保存されているデータと一致するため、調査員はデータがクラウドサービスプロバイダー内で盗まれたのか、同じ情報にアクセスできる他のシステムやチャネルを通じて漏洩したのかをさらに確認する必要がある。
これは、TSMC が自社の内部ネットワークが侵害されたことを発見していないものの、従業員の個人情報が外部サービス プロバイダーを通じて漏洩した可能性を排除できないことも意味します。大規模な多国籍企業では、人事、給与管理、従業員の身元確認、その他の管理サービスを外部のクラウド プラットフォームに依存する必要があることがよくあります。第三者サービスプロバイダーのセキュリティ対策に抜け穴があると、直接攻撃を受けていなくても企業自体が重大な情報漏洩のリスクに直面する可能性があります。
TSMC は近年、ネットワーク セキュリティの問題を非常に重視しています。 2023 年、同社はサプライヤーに関連したランサムウェア攻撃を受けました。当時、サイバー犯罪組織ロックビットはTSMCのサプライチェーンに関連するデータを入手したと主張し、関連企業に恐喝を通じて身代金の支払いを強制しようとした。 TSMCは後に、この事件はITハードウェアサプライヤーであるKinmax Technologyへの攻撃に起因すると述べ、生産システムには影響がなかったと強調した。
さらに、TSMC は 2025 年に、高度なプロセス技術の秘密を盗み漏らそうとした疑いのある従業員 2 名を解雇しました。関連する事件は、内部情報管理と技術機密保持の点で半導体業界が直面している複雑なセキュリティ課題をさらに浮き彫りにした。
世界で最も重要な半導体メーカーの 1 つである TSMC は、Nvidia、Apple、AMD、Qualcomm、Broadcom などの多くのテクノロジー企業にチップ製造サービスを提供しています。同社の高度なプロセス技術と生産稼働データは非常に高い商品価値を持っており、同社のネットワークセキュリティシステムには常に社外の注目が集まっています。
しかし、このインシデントと運用システムへの侵入は、2 つの異なるレベルの問題です。 TSMCが現在公開している情報によると、影響を受けるのは一部の従業員の個人データであり、チップの設計、顧客の注文、製造プロセス、ファブの生産データなどではないという。同社は顧客情報が影響を受けたという証拠は見つかっていない。
この事件は、非常に高度なセキュリティ保護機能を備えた世界的なテクノロジー大手であっても、サードパーティのサプライ チェーンによってもたらされるサイバーセキュリティ リスクから完全に逃れることはできないことを改めて示しています。企業のデータ セキュリティの境界は、もはや自社のサーバーや内部ネットワークに限定されません。アウトソーシング サービス プロバイダー、クラウド プラットフォーム、さまざまなコラボレーション システムも、突破口を求める攻撃者の標的になる可能性があります。
現時点では、TSMC は関与したクラウド サービス プロバイダーの身元を発表しておらず、影響を受けた従業員の最終的な数も明らかにしていません。同社は法執行機関やサードパーティのサイバーセキュリティチームと協力して調査を続けているが、データ侵害の具体的な発生源、その拡散範囲、その他の機密情報が関与していたかどうかについては、さらに確認が必要なままである。
コメント