Résumé :
TSMC, la plus grande fonderie au monde, a récemment confirmé que les informations personnelles de certains employés actuels et anciens apparaissaient sur des sites Web externes sans autorisation. TSMC a déclaré qu'une enquête préliminaire n'avait trouvé aucune preuve que le système d'information de l'entreprise avait été compromis. Les données impliquées étaient cohérentes avec les informations stockées dans le système d'un fournisseur de services cloud tiers, mais n'impliquaient pas les opérations de production, les secrets commerciaux ou les données relatives aux clients de TSMC.
TSMC a soumis un document 6-K à la Securities and Exchange Commission (SEC) des États-Unis le 12 novembre, révélant officiellement la fuite d'informations personnelles sur les employés. L'entreprise a déclaré avoir confirmé que certaines données personnelles de ses employés avaient été publiées sur un site Web externe sans autorisation. Les informations actuellement disponibles montrent que les informations correspondent aux données stockées dans les services système d'un fournisseur de services cloud.
TSMC a souligné qu'il n'existe actuellement aucune preuve que les systèmes internes de l'entreprise aient été compromis, et qu'aucune information sur les opérations de production ou donnée client n'a été trouvée impliquée dans cet incident. L'entreprise informe les employés concernés, actuels et anciens, et leur fournit le soutien nécessaire. Dans le même temps, TSMC a coopéré avec les fournisseurs de services cloud, les agences d'enquête et les agences tierces de sécurité des réseaux concernés pour découvrir l'incident spécifique et prendre les mesures correspondantes.
Il convient de noter que TSMC n'a pas divulgué le nom du fournisseur de services cloud impliqué, ni le nombre d'employés concernés ni les types d'informations personnelles impliquées.
Des indices pertinents sur cet incident sont déjà apparus sur des forums sur la cybercriminalité. Selon les médias de cybersécurité, le 8 novembre, un cybercriminel non identifié a publié sur un forum clandestin des informations selon lesquelles il vendrait des données d'employés de TSMC. Il a affirmé détenir environ 46 000 dossiers d'employés, avec un volume total de données de 6,9 Go, et a demandé à l'acheteur de payer 3 Bitcoins, ce qui représentait à l'époque environ 200 000 $ US. L'éditeur a également menacé de divulguer toutes les données si personne n'achetait dans un délai d'une semaine.
Selon les médias taïwanais, certains échantillons de données affichés sur les forums concernés contiendraient des informations sensibles telles que les noms des employés, les numéros d'identification et les informations de compte bancaire. Cependant, ces contenus restent des déclarations unilatérales faites par des cybercriminels. TSMC n'a pas officiellement confirmé la quantité de données divulguées, la taille des fichiers et les catégories d'informations spécifiques, ni que les données vendues sur le forum correspondent exactement à l'incident divulgué par la société.
À en juger par les documents réglementaires soumis par TSMC, la société concentre actuellement son enquête sur les problèmes de sécurité des données des fournisseurs de services cloud tiers. Étant donné que les informations pertinentes correspondent aux données stockées dans le système du fournisseur de services cloud, les enquêteurs doivent confirmer si les données ont été volées au sein du fournisseur de services cloud ou divulguées via d'autres systèmes ou canaux pouvant accéder aux mêmes informations.
Cela signifie également que même si TSMC n'a pas constaté que son propre réseau interne avait été compromis, il ne peut pas exclure la possibilité que les informations personnelles de ses employés aient été divulguées via des prestataires de services externes. Pour les grandes entreprises multinationales, les ressources humaines, la gestion de la paie, la vérification de l'identité des employés et d'autres services administratifs doivent souvent s'appuyer sur des plateformes cloud externes. Dès qu’il existe des failles dans les mesures de sécurité des prestataires de services tiers, l’entreprise elle-même peut être confrontée à de graves risques de fuite de données, même si elle n’est pas directement attaquée.
TSMC attache une grande importance aux problèmes de sécurité des réseaux ces dernières années. En 2023, l’entreprise a subi une attaque de ransomware liée à un fournisseur. À cette époque, l'organisation cybercriminelle LockBit affirmait avoir obtenu des données liées à la chaîne d'approvisionnement de TSMC et tenté de forcer les sociétés liées à payer une rançon par le biais de l'extorsion. TSMC a déclaré plus tard que l'incident découlait d'une attaque contre Kinmax Technology, un fournisseur de matériel informatique, et a souligné que son système de production n'était pas affecté.
En outre, TSMC a licencié deux employés en 2025, soupçonnés d'avoir volé et tenté de divulguer des secrets de technologies de processus avancées. Des incidents connexes ont en outre mis en évidence les défis de sécurité complexes auxquels est confrontée l'industrie des semi-conducteurs en termes de gestion interne des informations et de confidentialité technologique.
En tant que l'un des plus importants fabricants de semi-conducteurs au monde, TSMC fournit des services de fabrication de puces à de nombreuses entreprises technologiques telles que Nvidia, Apple, AMD, Qualcomm et Broadcom. Sa technologie de processus avancée et ses données d'exploitation de production ont une valeur commerciale extrêmement élevée, de sorte que le monde extérieur a toujours accordé une attention particulière au système de sécurité du réseau de l'entreprise.
Cependant, cet incident et l'intrusion du système de production constituent deux niveaux de problèmes différents. Selon les informations actuellement publiées par TSMC, ce sont les données personnelles de certains employés qui sont concernées, et non la conception des puces, les commandes des clients, les processus de fabrication ou les données de production. La société n’a trouvé aucune preuve que les informations des clients aient été affectées.
Cet incident démontre une fois de plus que même les géants mondiaux de la technologie dotés de capacités de protection de sécurité extrêmement élevées ne peuvent pas complètement échapper aux risques de cybersécurité posés par les chaînes d'approvisionnement tierces. Les limites de la sécurité des données d'une entreprise ne se limitent plus à ses propres serveurs et réseaux internes. Les fournisseurs de services d’externalisation, les plateformes cloud et divers systèmes de collaboration peuvent également devenir des cibles pour les attaquants à la recherche de percées.
Actuellement, TSMC n'a pas annoncé l'identité du fournisseur de services cloud impliqué, ni divulgué le nombre final d'employés concernés. Alors que l'entreprise continue d'enquêter auprès des forces de l'ordre et des équipes de cybersécurité tierces, la source spécifique de la violation de données, l'ampleur de sa propagation et la question de savoir si d'autres informations sensibles étaient impliquées restent à confirmer.
Commentaires