TSMC confirma una filtración de datos de empleados vinculada a un proveedor de nube

TSMC confirmó el jueves 12 de noviembre que datos personales de empleados actuales y exempleados se publicaron sin autorización en un sitio web externo. La filtración de datos fue comunicada por el mayor fabricante de chips por contrato del mundo en un documento Form 6-K enviado a la SEC, la comisión de valores de Estados Unidos, firmado por el director financiero Wendell Huang.

Según la empresa, una revisión preliminar concluyó que la información expuesta coincide con datos almacenados en los sistemas de un proveedor de servicios en la nube con el que trabaja TSMC. La compañía afirma que, por el momento, no hay evidencia de que sus propios sistemas de TI o sus equipos de fabricación de obleas hayan sido comprometidos, y que la producción y los datos de clientes no se vieron afectados.

Lo que TSMC confirmó

  • Datos personales de algunos empleados actuales y exempleados se publicaron sin autorización en un sitio web externo.
  • La información coincide con registros de un proveedor externo de servicios en la nube.
  • No hay evidencia, hasta ahora, de compromiso de los sistemas internos de TSMC ni de sus equipos de fabricación.
  • La exposición no involucra operaciones de producción de chips ni datos de clientes, según la empresa.
  • TSMC afirma estar notificando a los empleados afectados y brindando apoyo, y trabajando con el proveedor, las autoridades y una empresa externa de ciberseguridad en la investigación.

Lo que afirman los vendedores, y lo que no se ha confirmado

En foros clandestinos como DarkForums y BreachForums, vendedores anónimos afirman tener unos 46.000 registros de empleados de TSMC, en un conjunto de datos de unos 6,9 GB, ofrecido por 3 bitcoins, unos US$ 220.000 o NT$ 7,4 millones. Según la prensa taiwanesa, entre ella United Daily News y la Central News Agency (CNA), los vendedores amenazan con publicar todo el conjunto de datos si ningún comprador aparece en una semana. La oferta habría aparecido por primera vez el 8 de noviembre, según The Record.

Para respaldar la oferta, los vendedores divulgaron una muestra llamada "tsmc.txt", con 499 registros y 19 campos cada uno, que incluirían, según los reportes, nombres, fechas de nacimiento, cargos, números de documento, direcciones, teléfonos, correos electrónicos, datos bancarios y contactos de emergencia.

Es importante separar los hechos de las afirmaciones: TSMC no ha confirmado la cifra de 46.000 registros, el tamaño de 6,9 GB ni el precio pedido. La empresa tampoco ha revelado cuántas personas resultaron afectadas, qué categorías de datos estaban involucradas ni el nombre del proveedor de nube. No hay evidencia pública de que haya aparecido un comprador, de que se haya realizado una transacción o de que se haya producido la divulgación completa prometida. En X, la historia circuló con fuerza: una publicación de Andrew Curran con la imagen del documento Form 6-K de TSMC sumaba casi 600.000 visualizaciones el 13 de noviembre.

Lo que aún no se sabe

  • Qué proveedor de nube guardaba los registros y qué servicio estaba involucrado.
  • Cómo llegaron los datos al sitio web externo: por intrusión, exposición accidental u otro mecanismo.
  • Cuántas personas resultaron afectadas y si la muestra divulgada es auténtica y completa.
  • Si los vendedores cumplirán la amenaza de publicar el conjunto completo de datos.

Contexto: un objetivo recurrente

TSMC fabrica chips para las mayores empresas tecnológicas del mundo y es una pieza central de la cadena global de semiconductores, lo que la convierte en un objetivo constante. En junio de 2023, el grupo de ransomware LockBit incluyó a TSMC como víctima y exigió US$ 70 millones, pero la intrusión real había afectado al proveedor de hardware Kinmax y solo involucraba archivos de configuración de un entorno de pruebas. El episodio actual sigue un patrón similar: el punto débil no fue la fábrica, sino un eslabón externo de la cadena de suministro.

Imagen destacada: fábrica Fab 14B de TSMC en Tainan, Taiwán, fotografiada en mayo de 2025 por 4300streetcar, vía Wikimedia Commons (licencia CC BY-SA 4.0).

Fuentes

Transparencia: este artículo fue elaborado con la ayuda de inteligencia artificial, a partir del cruce de publicaciones públicas en X y de fuentes de internet. Recomendamos consultar las fuentes originales citadas para confirmar la información.

Por Muse