TSMC ha confirmado la exposición no autorizada de datos personales de empleados y exempleados, después de que un grupo de ciberdelincuentes anunciara la posesión de miles de registros internos. La información comprometida coincide con datos almacenados en los servicios de un proveedor externo de computación en la nube, aunque la compañía asegura que no ha encontrado pruebas de una intrusión en sus propios sistemas.
Los atacantes afirman disponer de 6,9 GB de información correspondientes a unos 46.000 registros y exigen 3 bitcoins para evitar su publicación completa. Entre los datos presuntamente obtenidos aparecen direcciones, cuentas bancarias y contactos de emergencia. TSMC ha iniciado una investigación con el proveedor afectado y especialistas en ciberseguridad, mientras notifica la incidencia a las personas involucradas.
Los atacantes aseguran tener 46.000 registros y exigen tres bitcoins
Según las informaciones publicadas por medios taiwaneses, los responsables de la filtración anunciaron en foros clandestinos la venta de información personal vinculada a TSMC. El conjunto de archivos ofrecido tendría un tamaño aproximado de 6,9 GB y contendría datos de unos 46.000 empleados.
Para respaldar sus afirmaciones, los atacantes difundieron supuestamente un archivo denominado tsmc.txt, con información correspondiente a 499 trabajadores. La muestra incluiría datos identificativos, direcciones particulares, números de cuentas bancarias y contactos familiares o de emergencia, entre otros campos.
El grupo reclama un pago de 3 BTC y amenaza con divulgar el resto de la información si no consigue un comprador. Sin embargo, TSMC no ha confirmado públicamente la cantidad total de registros comprometidos ni el volumen de los archivos, por lo que esas cifras deben atribuirse a los responsables de la filtración.
La existencia de una muestra tampoco permite determinar por sí sola cómo se obtuvieron los datos. No se ha identificado públicamente el método utilizado para acceder a la información, ni existen detalles suficientes para establecer si el incidente comenzó mediante credenciales comprometidas, una configuración incorrecta o alguna vulnerabilidad del servicio.
TSMC confirma que los datos proceden de un servicio cloud externo
La compañía ha reconocido oficialmente el incidente mediante una comunicación presentada ante la Comisión de Bolsa y Valores de Estados Unidos (SEC). En ella confirma que determinados datos de empleados actuales y anteriores aparecieron en una página externa sin autorización.
TSMC señala que la información coincide con registros almacenados en los servicios de un proveedor cloud, pero subraya que, hasta el momento, no ha encontrado evidencias de que sus sistemas internos hayan sido comprometidos.
La empresa también asegura que los datos afectados no están relacionados con sus operaciones de producción ni con la información de sus clientes. Esta distinción resulta especialmente importante para un fabricante que desarrolla procesos avanzados de semiconductores y tecnologías de encapsulado como CoWoS.
No obstante, la ausencia de indicios de intrusión interna no equivale a una conclusión definitiva sobre el origen del incidente. La investigación continúa abierta y todavía debe aclararse dónde se produjo el acceso no autorizado, qué información quedó expuesta y durante cuánto tiempo pudo estar disponible.
El proveedor de servicios cloud no ha sido identificado públicamente, y TSMC tampoco ha explicado qué función empresarial desempeñaba. Por tanto, no puede determinarse si los registros procedían de una plataforma de recursos humanos, un sistema administrativo u otro servicio externalizado.
Los datos bancarios y personales aumentan el riesgo de suplantación
Aunque el incidente no afecte directamente a los procesos de fabricación, la exposición de información personal representa un riesgo importante para los trabajadores. Las direcciones, los datos bancarios y los contactos de emergencia pueden utilizarse para elaborar ataques de phishing especialmente convincentes.
Un ciberdelincuente que conozca información laboral y personal de una víctima podría suplantar al departamento de recursos humanos, a una entidad bancaria o a un proveedor de servicios. Cuantos más datos reales incorpore una comunicación fraudulenta, más difícil puede resultar identificarla mediante comprobaciones superficiales.
La filtración también plantea riesgos de ingeniería social contra empleados de una compañía estratégica para la industria de semiconductores. Sin embargo, disponer de información personal no significa que los atacantes hayan accedido a credenciales corporativas, documentación técnica o secretos industriales.
En este contexto, la prioridad es determinar exactamente qué campos quedaron comprometidos y qué personas resultaron afectadas. Esta información permitirá evaluar si son necesarias medidas adicionales de protección, vigilancia frente a intentos de fraude o cambios en determinados procedimientos de identificación.
La investigación pone el foco en la seguridad de los proveedores externos
TSMC ha confirmado que está notificando la incidencia a los trabajadores afectados y proporcionándoles asistencia. Paralelamente, colabora con el proveedor cloud, las autoridades investigadoras y una empresa independiente de ciberseguridad para esclarecer lo ocurrido y adoptar las medidas correspondientes.
El caso refleja uno de los riesgos de externalizar determinados servicios tecnológicos: la seguridad de la información empresarial también depende de los controles aplicados por terceros. Incluso cuando una organización mantiene protegida su infraestructura principal, los registros compartidos con proveedores pueden quedar expuestos por incidentes ajenos a esa infraestructura.
No es la primera vez que el entorno de suministradores de TSMC aparece relacionado con problemas de ciberseguridad. En 2023, un proveedor de hardware sufrió un ataque de ransomware cuyos responsables exigieron 70 millones de dólares, aunque se trató de un incidente diferente y no existe información que vincule ambos casos.
La investigación actual deberá aclarar si el acceso se produjo en los sistemas del proveedor, cómo se obtuvo la información y qué controles fallaron. También será necesario comprobar el alcance de la exposición para evitar que las cifras difundidas por los atacantes se conviertan automáticamente en datos oficiales.
La principal consecuencia confirmada es una filtración de información personal vinculada a TSMC, no un ataque demostrado contra sus fábricas o sistemas de producción. La compañía sostiene que sus operaciones y datos de clientes permanecen al margen del incidente, pero el riesgo para la privacidad de los empleados seguirá presente mientras no se determine el alcance completo de la exposición.
Vía: Wccftech
