Resumen:
TSMC, la empresa de fundición más grande del mundo, confirmó recientemente que la información personal de algunos empleados actuales y anteriores apareció en sitios web externos sin autorización. TSMC afirmó que una investigación preliminar no encontró evidencia de que el propio sistema de información de la empresa hubiera sido comprometido. Los datos involucrados eran consistentes con la información almacenada en el sistema de un proveedor de servicios en la nube externo, pero no involucraban las operaciones de producción, secretos comerciales o datos relacionados con el cliente de TSMC.
TSMC presentó un documento 6-K a la Comisión de Bolsa y Valores de EE. UU. (SEC) el 12 de noviembre, revelando oficialmente la filtración de información personal de los empleados. La compañía dijo que había confirmado que algunos datos personales de los empleados se habían publicado en un sitio web externo sin autorización. La información actualmente disponible muestra que la información coincide con los datos almacenados en los servicios del sistema de un proveedor de servicios en la nube.
TSMC enfatizó que actualmente no hay evidencia de que los sistemas internos de la compañía hayan sido comprometidos, y no se ha encontrado que información de operaciones de producción o datos de clientes estén involucrados en este incidente. La empresa está notificando a los empleados actuales y anteriores afectados y brindándoles el apoyo necesario. Al mismo tiempo, TSMC ha cooperado con proveedores de servicios en la nube relevantes, agencias de investigación y agencias de seguridad de redes de terceros para descubrir el incidente específico y tomar las medidas correspondientes.
Vale la pena señalar que TSMC no reveló el nombre del proveedor de servicios en la nube involucrado, ni cuántos empleados se vieron afectados y qué tipos de información personal estuvieron involucrados.
Ya han aparecido pistas relevantes sobre este incidente en foros de ciberdelincuencia. Según medios de ciberseguridad, el 8 de noviembre, un ciberdelincuente no identificado publicó noticias sobre la venta de datos de empleados de TSMC en un foro clandestino. Afirmó tener aproximadamente 46.000 registros de empleados, con un volumen total de datos de 6,9 GB, y pidió al comprador que pagara 3 Bitcoins, lo que equivalía aproximadamente a 200.000 dólares estadounidenses en ese momento. El editor también amenazó con revelar todos los datos si nadie compra en el plazo de una semana.
Según informes de los medios taiwaneses, se dice que algunas muestras de datos mostradas en foros relevantes contienen información confidencial como nombres de empleados, números de identificación e información de cuentas bancarias. Sin embargo, estos contenidos no dejan de ser declaraciones unilaterales de los ciberdelincuentes. TSMC no ha confirmado oficialmente la cantidad de datos filtrados, el tamaño del archivo y las categorías de información específicas, ni ha confirmado que los datos vendidos en el foro correspondan exactamente al incidente revelado por la empresa.
A juzgar por los documentos regulatorios presentados por TSMC, la compañía actualmente está centrando su investigación en los problemas de seguridad de los datos de los proveedores externos de servicios en la nube. Dado que la información relevante coincide con los datos almacenados en el sistema del proveedor de servicios en la nube, los investigadores deben confirmar si los datos fueron robados dentro del proveedor de servicios en la nube o se filtraron a través de otros sistemas o canales que pueden acceder a la misma información.
Esto también significa que, aunque TSMC no ha descubierto que su propia red interna haya sido comprometida, no puede descartar la posibilidad de que la información personal de sus empleados se haya filtrado a través de proveedores de servicios externos. Para las grandes empresas multinacionales, los recursos humanos, la gestión de nóminas, la verificación de la identidad de los empleados y otros servicios administrativos a menudo necesitan depender de plataformas en la nube externas. Una vez que existen lagunas en las medidas de seguridad de los proveedores de servicios externos, la propia empresa puede enfrentar graves riesgos de fuga de datos incluso si no es atacada directamente.
TSMC ha otorgado gran importancia a los problemas de seguridad de la red en los últimos años. En 2023, la empresa sufrió un ataque de ransomware relacionado con un proveedor. En ese momento, la organización cibercriminal LockBit afirmó haber obtenido datos relacionados con la cadena de suministro de TSMC y trató de obligar a las empresas relacionadas a pagar un rescate mediante extorsión. TSMC afirmó más tarde que el incidente se debió a un ataque a Kinmax Technology, un proveedor de hardware de TI, y enfatizó que su sistema de producción no se vio afectado.
Además, TSMC despidió a dos empleados en 2025 sospechosos de robar e intentar filtrar secretos de tecnología de procesos avanzados. Los incidentes relacionados pusieron de relieve aún más los complejos desafíos de seguridad que enfrenta la industria de los semiconductores en términos de gestión interna de la información y confidencialidad de la tecnología.
Como uno de los fabricantes de semiconductores más importantes del mundo, TSMC ofrece servicios de fabricación de chips a muchas empresas de tecnología como Nvidia, Apple, AMD, Qualcomm y Broadcom. Su avanzada tecnología de proceso y datos de operación de producción tienen un valor comercial extremadamente alto, por lo que el mundo exterior siempre ha prestado mucha atención al sistema de seguridad de red de la empresa.
Sin embargo, este incidente y la intrusión del sistema de producción son dos niveles diferentes de problemas. Según la información publicada actualmente por TSMC, lo que se ve afectado son los datos personales de algunos empleados, no el diseño de chips, los pedidos de los clientes, los procesos de fabricación o los datos de producción de las fábricas. La empresa no ha encontrado evidencia de que la información de los clientes se haya visto afectada.
Este incidente demuestra una vez más que incluso los gigantes tecnológicos globales con capacidades de protección de seguridad extremadamente altas no pueden escapar por completo de los riesgos de ciberseguridad que plantean las cadenas de suministro de terceros. Los límites de seguridad de los datos de una empresa ya no se limitan a sus propios servidores y redes internas. Los proveedores de servicios de subcontratación, las plataformas en la nube y diversos sistemas de colaboración también pueden convertirse en objetivos de los atacantes que buscan avances.
Actualmente, TSMC no ha anunciado la identidad del proveedor de servicios en la nube involucrado, ni ha revelado el número final de empleados afectados. A medida que la compañía continúa investigando con agencias policiales y equipos de ciberseguridad de terceros, aún no se ha confirmado la fuente específica de la violación de datos, el alcance de su propagación y si hubo otra información confidencial involucrada.
Comentarios