Resumo:
A TSMC, a maior empresa de fundição do mundo, confirmou recentemente que as informações pessoais de alguns funcionários atuais e antigos apareceram em sites externos sem autorização. A TSMC afirmou que uma investigação preliminar não encontrou evidências de que o sistema de informação da própria empresa tenha sido comprometido. Os dados envolvidos eram consistentes com as informações armazenadas no sistema de um provedor de serviços em nuvem terceirizado, mas não envolviam operações de produção, segredos comerciais ou dados relacionados ao cliente da TSMC.
A TSMC apresentou um documento 6-K à Comissão de Valores Mobiliários dos EUA (SEC) em 12 de novembro, revelando oficialmente o vazamento de informações pessoais dos funcionários. A empresa disse ter confirmado que alguns dados pessoais de funcionários foram publicados em um site externo sem autorização. As informações atualmente disponíveis mostram que as informações correspondem aos dados armazenados nos serviços do sistema de um provedor de serviços em nuvem.
A TSMC enfatizou que atualmente não há evidências de que os sistemas internos da empresa tenham sido comprometidos e nenhuma informação de operação de produção ou dados de clientes foram encontrados envolvidos neste incidente. A empresa está notificando os atuais e ex-funcionários afetados e fornecendo-lhes o apoio necessário. Ao mesmo tempo, a TSMC cooperou com provedores de serviços em nuvem relevantes, agências de investigação e agências de segurança de rede terceirizadas para descobrir o incidente específico e tomar as medidas correspondentes.
É importante notar que a TSMC não divulgou o nome do provedor de serviços em nuvem envolvido, nem quantos funcionários foram afetados e que tipos de informações pessoais estavam envolvidas.
Pistas relevantes sobre esse incidente já apareceram em fóruns sobre crimes cibernéticos. De acordo com a mídia de segurança cibernética, em 8 de novembro, um cibercriminoso não identificado postou notícias sobre a venda de dados de funcionários da TSMC em um fórum clandestino. Ele alegou ter aproximadamente 46 mil registros de funcionários, com volume total de dados de 6,9 GB, e pediu ao comprador que pagasse 3 Bitcoins, o que era aproximadamente US$ 200 mil na época. A editora também ameaçou divulgar todos os dados se ninguém comprar dentro de uma semana.
De acordo com reportagens da mídia taiwanesa, algumas amostras de dados exibidas em fóruns relevantes contêm informações confidenciais, como nomes de funcionários, números de identificação e informações de contas bancárias. No entanto, estes conteúdos ainda são declarações unilaterais feitas por criminosos cibernéticos. A TSMC não confirmou oficialmente a quantidade de dados vazados, tamanho dos arquivos e categorias específicas de informações, nem confirmou que os dados vendidos no fórum correspondem exatamente ao incidente divulgado pela empresa.
A julgar pelos documentos regulamentares apresentados pela TSMC, a empresa está atualmente concentrando sua investigação nas questões de segurança de dados de provedores terceirizados de serviços em nuvem. Uma vez que as informações relevantes correspondem aos dados armazenados no sistema do fornecedor de serviços em nuvem, os investigadores precisam confirmar se os dados foram roubados dentro do fornecedor de serviços em nuvem ou vazados através de outros sistemas ou canais que podem acessar as mesmas informações.
Isso também significa que, embora a TSMC não tenha descoberto que sua própria rede interna tenha sido comprometida, ela não pode descartar a possibilidade de que as informações pessoais de seus funcionários tenham sido vazadas por meio de provedores de serviços externos. Para grandes empresas multinacionais, os recursos humanos, a gestão da folha de pagamento, a verificação da identidade dos funcionários e outros serviços administrativos muitas vezes precisam depender de plataformas externas em nuvem. Uma vez que existem lacunas nas medidas de segurança dos prestadores de serviços terceirizados, a própria empresa pode enfrentar sérios riscos de vazamento de dados, mesmo que não seja atacada diretamente.
A TSMC tem atribuído grande importância às questões de segurança de rede nos últimos anos. Em 2023, a empresa sofreu um ataque de ransomware relacionado a um fornecedor. Naquela época, a organização cibercriminosa LockBit alegou ter obtido dados relacionados à cadeia de suprimentos da TSMC e tentou forçar empresas relacionadas a pagar resgate por meio de extorsão. A TSMC afirmou posteriormente que o incidente resultou de um ataque à Kinmax Technology, um fornecedor de hardware de TI, e enfatizou que seu sistema de produção não foi afetado.
Além disso, a TSMC demitiu dois funcionários em 2025 que eram suspeitos de roubar e tentar vazar segredos de tecnologia de processos avançados. Os incidentes relacionados realçaram ainda mais os complexos desafios de segurança enfrentados pela indústria de semicondutores em termos de gestão interna de informações e confidencialidade tecnológica.
Como um dos fabricantes de semicondutores mais importantes do mundo, a TSMC fornece serviços de fabricação de chips para muitas empresas de tecnologia, como Nvidia, Apple, AMD, Qualcomm e Broadcom. Sua avançada tecnologia de processo e dados de operação de produção têm valor comercial extremamente alto, por isso o mundo exterior sempre prestou muita atenção ao sistema de segurança de rede da empresa.
No entanto, este incidente e a intrusão no sistema de produção são dois níveis diferentes de problemas. De acordo com as informações atualmente divulgadas pela TSMC, o que é afetado são os dados pessoais de alguns funcionários, e não o design de chips, pedidos de clientes, processos de fabricação ou dados de produção de fábricas. A empresa não encontrou nenhuma evidência de que as informações dos clientes tenham sido afetadas.
Este incidente demonstra mais uma vez que mesmo os gigantes globais da tecnologia com capacidades de proteção de segurança extremamente elevadas não conseguem escapar completamente aos riscos de segurança cibernética colocados pelas cadeias de abastecimento de terceiros. Os limites de segurança de dados de uma empresa não estão mais limitados aos seus próprios servidores e redes internas. Provedores de serviços de terceirização, plataformas de nuvem e vários sistemas de colaboração também podem se tornar alvos de invasores em busca de inovações.
Atualmente, a TSMC não anunciou a identidade do provedor de serviços em nuvem envolvido, nem divulgou o número final de funcionários afetados. À medida que a empresa continua a investigar com as autoridades policiais e equipas de segurança cibernética terceirizadas, a fonte específica da violação de dados, o âmbito da sua propagação e se outras informações sensíveis estavam envolvidas continuam por confirmar.
Comentários