TSMC confirme une fuite de données d'employés liée à un fournisseur cloud

TSMC a confirmé jeudi 12 novembre que des données personnelles d'employés actuels et anciens avaient été publiées sans autorisation sur un site web externe. La fuite de données a été communiquée par le plus grand fabricant de puces sous contrat au monde dans un document Form 6-K adressé à la SEC, la commission américaine des valeurs mobilières, signé par le directeur financier Wendell Huang.

Selon l'entreprise, un examen préliminaire a conclu que les informations exposées correspondent à des données stockées dans les systèmes d'un fournisseur de services cloud avec lequel TSMC travaille. La société affirme qu'il n'existe pour l'instant aucune preuve que ses propres systèmes informatiques ou ses équipements de fabrication de wafers aient été compromis, et que la production et les données clients n'ont pas été affectées.

Ce que TSMC a confirmé

  • Des données personnelles de certains employés actuels et anciens ont été publiées sans autorisation sur un site web externe.
  • Ces informations correspondent à des registres détenus par un fournisseur tiers de services cloud.
  • Il n'existe pour l'instant aucune preuve de compromission des systèmes internes de TSMC ni de ses équipements de fabrication.
  • L'exposition ne concerne ni les opérations de production de puces ni les données clients, selon l'entreprise.
  • TSMC affirme notifier les employés concernés et leur apporter son soutien, et travailler avec le fournisseur, les autorités et une entreprise tierce de cybersécurité dans le cadre de l'enquête.

Ce qu'affirment les vendeurs — et ce qui n'a pas été confirmé

Sur des forums clandestins comme DarkForums et BreachForums, des vendeurs anonymes affirment détenir environ 46 000 dossiers d'employés de TSMC, dans un ensemble de données d'environ 6,9 Go, proposé pour 3 bitcoins — environ 220 000 dollars, soit 7,4 millions de dollars taïwanais. Selon la presse taïwanaise, notamment United Daily News et la Central News Agency (CNA), les vendeurs menacent de publier l'intégralité des données si aucun acheteur ne se manifeste dans un délai d'une semaine. L'annonce serait apparue pour la première fois le 8 novembre, selon The Record.

Pour étayer leur offre, les vendeurs ont diffusé un échantillon nommé « tsmc.txt », contenant 499 dossiers de 19 champs chacun — incluant, selon les reportages, noms, dates de naissance, postes, numéros d'identité, adresses, numéros de téléphone, adresses e-mail, coordonnées bancaires et contacts d'urgence.

Il est important de distinguer les faits des affirmations : TSMC n'a confirmé ni le chiffre de 46 000 dossiers, ni la taille de 6,9 Go, ni le prix demandé. L'entreprise n'a pas non plus révélé combien de personnes ont été touchées, quelles catégories de données étaient concernées, ni le nom du fournisseur cloud. Il n'existe aucune preuve publique qu'un acheteur se soit manifesté, qu'une transaction ait eu lieu ou que la divulgation complète promise ait eu lieu. Sur X, l'histoire a beaucoup circulé : une publication d'Andrew Curran avec l'image du document Form 6-K de TSMC totalisait près de 600 000 vues le 13 novembre.

Ce qui reste inconnu

  • Quel fournisseur cloud détenait les registres et quel service était concerné.
  • Comment les données ont atteint le site web externe — par intrusion, exposition accidentelle ou un autre mécanisme.
  • Combien de personnes ont été touchées et si l'échantillon diffusé est authentique et complet.
  • Si les vendeurs mettront leur menace à exécution en publiant l'intégralité des données.

Contexte : une cible récurrente

TSMC fabrique des puces pour les plus grandes entreprises technologiques du monde et occupe une place centrale dans la chaîne mondiale des semi-conducteurs, ce qui en fait une cible constante. En juin 2023, le groupe de ransomware LockBit avait désigné TSMC comme victime et exigé 70 millions de dollars, mais la véritable intrusion avait touché le fournisseur de matériel Kinmax et ne concernait que des fichiers de configuration d'un environnement de test. L'épisode actuel suit un schéma similaire : le point faible n'était pas l'usine, mais un maillon externe de la chaîne d'approvisionnement.

Image à la une : usine Fab 14B de TSMC à Tainan, Taïwan, photographiée en mai 2025 par 4300streetcar, via Wikimedia Commons (licence CC BY-SA 4.0).

Sources

Transparence : cet article a été rédigé avec l'aide de l'intelligence artificielle, à partir du recoupement de publications publiques sur X et de sources sur internet. Nous recommandons de consulter les sources originales citées pour confirmer les informations.

Par Muse