TSMC confirma una filtración de datos de empleados vinculada a un proveedor de nube

TSMC ha confirmado que datos de empleados actuales y antiguos aparecieron sin autorización en una web externa. La compañía afirma que la información coincide con la almacenada en los servicios de un proveedor de nube y que, por el momento, no ha encontrado pruebas de una intrusión en sus propios sistemas.

Los detalles difundidos por los presuntos responsables hablan de un archivo de 6,9 GB con unos 46.000 registros, ofrecido por tres bitcoins. TSMC reconoce la exposición de información personal, pero su declaración no confirma ese volumen ni el número total de personas afectadas.

TSMC sitúa los datos en un proveedor de nube

La declaración de la empresa delimita el alcance conocido del incidente. TSMC ha comprobado que los datos publicados corresponden a información almacenada por un proveedor externo y sostiene que no están relacionados con sus operaciones ni con datos de clientes.

Esto permite distinguir la exposición de información de personal de un acceso a los sistemas de fabricación de semiconductores. En el material disponible no se informa de una interrupción de las fábricas ni de la publicación de diseños de chips o documentación técnica de clientes.

La formulación de la empresa también tiene un límite: dice que actualmente no ha encontrado evidencias de que sus sistemas hayan sido comprometidos. Esa es su conclusión durante la investigación, sin que se haya publicado todavía un informe técnico que explique la vía de acceso a los datos.

TSMC no identifica al proveedor de nube ni especifica qué servicio prestaba. Por tanto, no se puede atribuir la filtración a una plataforma concreta o dar por conocida la vulnerabilidad utilizada.

Los atacantes hablan de 46.000 registros y tres bitcoins

La información describe una oferta de venta en foros clandestinos. Sus autores afirman disponer de 6,9 GB de información y reclaman tres bitcoins a cambio de no hacer públicos todos los datos.

Yahoo Finanzas Taiwán también recoge una amenaza de publicación si no aparece un comprador en una semana. Ese plazo forma parte de las condiciones anunciadas por quienes ofrecen el archivo, no de un calendario confirmado por TSMC.

Para respaldar su oferta, los presuntos responsables publicaron una muestra de un archivo de texto con información de unas 499 personas. En él se mencionan direcciones, números de cuenta bancaria y datos de contactos de emergencia.

El comunicado de TSMC no enumera esos campos ni valida públicamente cada elemento de la muestra. Su confirmación se refiere a la correspondencia entre la información expuesta y los datos guardados por el proveedor.

La posible combinación de información personal y financiera abre un riesgo de suplantación. Un mensaje fraudulento puede resultar más creíble si utiliza datos reales del destinatario o de su relación laboral. Eso no demuestra que ya se hayan producido estafas como consecuencia de esta filtración.

De igual forma, que una muestra contenga números de cuenta no permite afirmar que los atacantes hayan accedido a la banca electrónica de los empleados. La exposición de información y la capacidad de operar una cuenta son hechos diferentes.

La empresa notifica a los afectados e investiga con terceros

La marca explica que está informando a las personas afectadas y proporcionándoles apoyo. La investigación reúne al proveedor de nube, las autoridades competentes y una entidad externa especializada en ciberseguridad.

La declaración no concreta qué asistencia se está ofreciendo ni cuándo se completará la notificación. Tampoco confirma un pago, una negociación con los vendedores o la retirada del material publicado.

La amenaza de divulgar datos no basta para clasificar el incidente como un ataque de ransomware con cifrado de sistemas. Se describe exposición de datos y una exigencia económica, pero no documenta que las fábricas o los equipos de TSMC hayan sido cifrados.

El antecedente de Kinmax en 2023 fue otro incidente

TSMC ya tuvo que responder a una filtración relacionada con un proveedor en junio de 2023. Entonces identificó a Kinmax, suministrador de servicios informáticos, y explicó que se había expuesto información sobre la configuración inicial de servidores.

The Record recibió una declaración de TSMC en la que la empresa aseguraba que sus operaciones y los datos de clientes no estaban afectados. También confirmó que había suspendido el intercambio de información con Kinmax tras conocer el incidente.

Aquella reclamación apareció vinculada a LockBit y ascendía a 70 millones de dólares. El proveedor de nube implicado en noviembre de 2026 sigue sin identificarse y TSMC aún no ha publicado el alcance definitivo de los datos personales afectados.

Fin del Artículo. ¡Cuéntanos algo en los Comentarios!