台积电在递交到美国证券交易委员会的一份声明中称，部分现任及前任员工的个人数据在未经授权的情况下出现在一个外网上。相关信息与存储在某云服务提供商系统服务中的数据相吻合，台积电表示目前尚未发现自身系统遭到入侵的证据。
台积电称，这些数据与其业务运营或客户信息无关，公司正在通知受影响的员工，并与该云服务商、相关调查机构以及一家外部网络安全公司合作，以查明事件真相。声明没有透露受影响员工的具体人数。
据报道，黑客在DarkForums、BreachForums等地下论坛上拍卖容量6.9GB的台积电员工数据，起标价为3枚比特币。黑客提供的样本显示，数据涵盖员工姓名、生日、职称、住址、身份证字号、手机号码、银行账户等信息，甚至还有紧急联络人电话。
一周无人接盘就公开
黑客声称，如果一周内没有找到买家，将公开所有数据。这种“拍卖不成改公开”的套路在数据泄露事件中并不少见，目的是向受害企业施压，逼其私下付款。但台积电在声明中没有提及是否收到过勒索要求。
值得注意的是，泄露源头指向的是一家云服务提供商，而非台积电自身的系统。这意味着企业即便把内部防线做得再严，一旦把员工数据托管给第三方，风险就延伸到了供应链上。
供应链安全再敲警钟
员工个人数据看似不如芯片设计图纸敏感，但姓名、身份证号、银行账户与紧急联系人组合在一起，足以支撑精准钓鱼与身份盗用。对半导体龙头而言，这类数据一旦流入黑市，后续的连锁风险不容小觑。
事件也再次提醒大型企业：对云服务商的数据安全管理不能只看合同条款，还要看实际执行。此次泄露的责任如何划分、云服务商将如何回应，仍有待后续调查给出答案。
对台积电这样的半导体龙头来说，员工数据泄露的直接损失或许有限，但间接风险不容忽视。姓名、身份证号、银行账户与紧急联系人电话组合在一起，足以支撑高度定制化的钓鱼攻击：攻击者可以冒充公司人事或银行客服，精准地联系到具体员工，甚至进一步渗透到内部系统。更值得关注的是泄露的源头——一家未具名的云服务提供商。台积电在声明中没有点名这家服务商，也没有说明数据是如何从服务商系统流出的。企业把数据托管给第三方时，往往默认对方的安全水位与自己相当，但这次事件表明，供应链上的任何一环出现疏漏，最终买单的都是数据的真正所有者。
黑客给出的“一周无人接盘就公开”的期限，也让受影响员工的处境更加被动。公开意味着数据将进入更多人手中，身份盗用与精准诈骗的风险随之上升。台积电表示正在逐一通知受影响员工，但对普通员工来说，除了提高警惕、留意可疑来电与邮件之外，并没有太多主动防御的手段。