📡 Signal｜TSMC の従業員情報が流出、売り値は 3 BTC

台湾の TSMC は11月12日、現職と元職の従業員の情報の一部が許可なく外部のサイトに置かれたことを確認した。地下の掲示板では、売り手が「4万6,000件・6.9GB」と称するデータを 3 BTC (ビットコイン 3 枚) で売りに出している。

中時新聞網 — 売り手の主張 (件数・価格・期限・見本の項目) と TSMC の声明 (2026年11月12日)中時新聞網

TSMC は、自社のシステムが侵入された証拠は今のところ見つかっていないと説明した。データは、ある外部のクラウド事業者のシステムにあったものと一致するという。半導体の受託生産の最大手でも、従業員の情報は自社の壁の外、委託先のシステムにも置かれている。

売り手が示したもの

台湾の中時新聞網や風傳媒によると、データは DarkForums と BreachForums という 2 つの地下掲示板で売りに出された。売り手は、現職と元職の従業員の記録 4万6,000件、容量 6.9GB を持っていると主張し、価格を 3 BTC とした。1 週間のうちに買い手がつかなければ、すべてを公開するとも書いている。

証拠として示されたのは「tsmc.txt」という見本のファイルだ。報道によると、499 件の記録に 19 の項目があり、氏名、生年月日、職位、国籍、身分証の番号、住所、携帯電話の番号、メールアドレス、銀行の情報、緊急連絡先の電話番号と住所が並ぶ。

件数も容量も中身も、売り手の言い分だ。TSMC はこれらの数字を認めていない。

TSMC が認めたこと、認めていないこと

TSMC が12日に出した声明で認めたのは 3 点だ。一部の従業員の情報が許可なく外部のサイトに置かれたこと。その情報が、あるクラウド事業者のシステムのデータと一致すること。そして、半導体の生産や顧客に関わるデータとは無関係であること。影響を受けた従業員には順次連絡し、クラウド事業者、捜査機関、外部のセキュリティ会社と原因を調べているとした。

一方で、クラウド事業者の名前、影響を受けた人数、データが外に出た経路は明かしていない。データがクラウド事業者のものと一致したことは、その事業者が侵入されたことの証明にはならない。どこで漏れたのかは、まだ外から確かめようがない。

日本経済新聞も同じ日に、TSMC が自社のシステムへの侵入の証拠はないとし、データが外部のクラウドの中のデータと一致したと伝えている。

委託先から漏れる型は2023年にもあった

TSMC の周辺から情報が出たのは初めてではない。2023年6月には、身代金を要求する攻撃の集団 LockBit が TSMC を被害者として名指しし、7,000万ドルを要求した。このとき TSMC は、攻撃を受けたのは IT 機器の納入業者の擎昊科技 (Kinmax) で、事業にも顧客のデータにも影響はないと説明した。

今回も構図は似ている。工場の設計図や顧客の情報ではなく、人の情報が、会社の外にある委託先のシステムを通って外に出た可能性がある。半導体の製造の技術は台湾の安全保障の中核にあり、技術者を狙う勧誘やなりすましの連絡は、名簿があれば格段にやりやすくなる。値札がビットコインなのは、銀行を通さずに国境を越えて受け取れる支払いの手段として、こうした取引で使われてきたからだ。工場の守りが堅いほど、攻撃は周りの委託先と人に向かう。

次に見るもの

最初の期限は、売り手が掲示板で示した「1 週間」だ。買い手がつかなければ全件を公開するという予告が実行されるかどうかで、データの規模と中身が本物かが見えてくる。

もう一つの確認先は、台湾証券取引所の「公開資訊觀測站 (MOPS)」に TSMC が出す重大な情報の開示と、同社のニュースルームだ。クラウド事業者の名前や影響を受けた人数が開示されれば、漏れた場所が自社の外か内かがはっきりする。

ことば

BreachForums — 盗まれたデータの売買に使われてきた英語圏の地下掲示板。たびたび当局の摘発を受け、閉鎖と再開を繰り返している。名簿や企業の内部データが値付けされて並ぶ。
ソーシャルエンジニアリング — 技術ではなく人の油断や信頼を突いて情報や権限を引き出す手口。本物らしい氏名・職位・連絡先がそろった名簿は、偽のメールや電話の成功率を上げる。

🔗 一次ソース