TSMC、従業員4.6万人分の個人情報流出を確認

落札開始価格は3 BTC

地下フォーラムのDarkForumsとBreachForumsで、台湾半導体大手のTSMC(台湾積体電路製造)の現職・元従業員あわせて約4.6万人分の個人情報が競売にかけられた。落札開始価格は3 BTCで、台湾ドル換算で約740万、米ドルでは約22万ドルに相当する。売り手は受託製造(ファウンドリ)事業を営む同社の現職と元社員の両方を含む約6.9GBの記録を保有していると主張する。入札期間は1週間で、期限までに希望価格での落札者が現れなければ全データを無料で公開すると脅している。情報の真偽を示すため、売り手は1件あたり19項目の記録499件を含むサンプルファイル「tsmc.txt」を公開した。全データがこのサンプルと同じ構成なら、1件ごとに20近くのデータ項目が含まれることになり、なりすましに十分使える内容だ。流出データには氏名、生年月日、役職、国籍、身分証番号、自宅住所、個人携帯番号、メールアドレスが含まれる。さらに銀行口座情報の一部には、従業員の緊急連絡先として第三者の氏名、電話番号、住所まで記載されており、被害は従業員本人以外にも及ぶ可能性がある。こうした識別情報の組み合わせは、対象従業員へのフィッシングやソーシャルエンジニアリング攻撃の格好の材料になる。組織図らしき資料も露出しているようで、人材引き抜きの長期的なリスクも指摘できる。TSMCは11月12日(木)の声明でこの売却情報に言及し、漏えいの原因を外部の委託先に求めた。台湾では近年、求人サイトの104やECプラットフォームの91APP、永豐銀行(SinoPac Bank)、旅行サイトのeztravelなど、第三者経由の情報流出や資金流出が相次いでおり、今回の事故もその流れの中で起きている。

TSMCはクラウド委託先を指摘

TSMCは11月12日(木)、一部の現職・元従業員の情報が無断で外部ウェブサイトに掲載されたことを確認した一方、自社システムへの侵入を示す証拠は見つかっていないと説明した。当初の調査では、流出したデータセットが特定のクラウドサービス提供者が保管するシステムサービスデータと一致しており、被害の発生源は同社の生産環境ではない方向を示している。チップの生産情報や顧客情報は流出データに含まれていないという。同社は委託先の名称を明かしていないが、当該ベンダー、外部のサイバーセキュリティ企業、調査機関と協力して根本原因の解明を進めており、対象従業員への告知と支援も開始した。被害者の総数については確認していない。ファウンドリ大手が供給網を経由する事故に直面するのは今回が初めてではない。2023年6月にはランサムウェア集団LockBitがTSMCを漏えいサイトに掲載し、7,000万ドルを要求した。この時も発生源は第三者のIT機器サプライヤーKinmax Technologyで、同社のテスト環境からサーバー設定ファイルが漏れていた。LockBitはTSMC本体には手を付けていないと判断して要求額を引き下げ、TSMCはKinmaxとのデータ交換を打ち切ったが、顧客情報には関わりがないと説明していた。台湾の個人情報保護法制では、データ処理を委託しても事業者の責任は免れず、被害を受けた従業員は1人あたり500~2万台湾ドル、1事故あたり上限2億台湾ドルの損害賠償を請求できる。一方、同社の財務は引き続き強固だ。第3四半期の純利益は7,630.64億台湾ドル(228.9億米ドル)で、主に先端プロセス世代の売上高が牽引した。

執筆時点でTSMC(TSM)の株価は397.62ドルにあり、過去24時間で4.04%下落している。24時間のレンジは396.73~417.50ドルだ。COINOTAGの総合スコアリングでは、市場の下に最も強いサポートが389.13ドル(スコア100中86)と算出され、直近のレジスタンスは416.97ドルで満点の100/100となっている。日足のRSIは46.2、トレンド判断は横ばいで、開示情報が広がる中でも株価はレンジ内の推移にとどまっており、崩壊には至っていない。389.13ドルを終値で下回れば、その描像が変わる水準になる。