Tóm tắt nhanh
- TSMC xác nhận dữ liệu cá nhân của một số nhân viên hiện tại và cựu nhân viên bị đăng tải trái phép.
- Hãng cho biết chưa tìm thấy bằng chứng hệ thống nội bộ bị xâm nhập; dữ liệu trùng với thông tin lưu tại dịch vụ của một nhà cung cấp đám mây chưa được nêu tên.
- Một bài đăng trên diễn đàn tội phạm mạng rao bán 6,9 GB dữ liệu với giá 3 Bitcoin, nhưng chi tiết này chưa được TSMC xác nhận.
- TSMC nói dữ liệu không liên quan đến hoạt động sản xuất hay thông tin khách hàng.
TSMC xác nhận một số dữ liệu cá nhân của nhân viên hiện tại và cựu nhân viên đã xuất hiện trên một website bên ngoài mà không được phép. Trong biểu mẫu Form 6-K gửi Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) ngày 12/11, hãng cho biết chưa tìm thấy bằng chứng hệ thống của mình bị xâm nhập và dữ liệu có liên hệ với dịch vụ của một nhà cung cấp đám mây.
Điểm đáng chú ý không nằm ở dây chuyền sản xuất chip bị ảnh hưởng—TSMC nói dữ liệu này không liên quan đến vận hành hay khách hàng—mà ở khoảng trống bảo vệ thông tin tại một đối tác bên ngoài. Tên nhà cung cấp chưa được công bố.
Dữ liệu nhân viên bị lộ qua dịch vụ của một đối tác đám mây
TSMC cho biết dữ liệu bị đưa lên mạng khớp với dữ liệu được lưu trong hệ thống dịch vụ của nhà cung cấp đám mây. Hãng đang phối hợp với đối tác, cơ quan điều tra và một đơn vị an ninh mạng độc lập để xác minh vụ việc; đồng thời thông báo và hỗ trợ những người bị ảnh hưởng.
Thông tin về quy mô và loại dữ liệu xuất phát từ các báo cáo báo chí, không phải phần xác nhận chi tiết trong tuyên bố chính thức của TSMC. The Record đưa tin một tài khoản trên diễn đàn tội phạm mạng đăng bán 6,9 GB dữ liệu vào ngày 8/11, được cho là có thông tin liên lạc, giấy tờ định danh và dữ liệu ngân hàng, với giá 3 BTC (khoảng 200.000 USD theo bài báo). Chưa có xác nhận độc lập trong các nguồn hiện có rằng toàn bộ nội dung rao bán là thật hay từng trường dữ liệu cụ thể đã bị lộ.
Vì vậy, không nên suy diễn sự cố thành vụ đánh cắp bí mật sản xuất chip hoặc dữ liệu khách hàng. Tuyên bố của TSMC nói rõ dữ liệu không liên quan đến hoạt động công ty và khách hàng; còn phạm vi chính xác của dữ liệu nhân sự vẫn cần được điều tra làm rõ.
Đối tác bên ngoài cũng là một phần của ranh giới bảo mật
Việc chưa thấy dấu hiệu xâm nhập mạng nội bộ không đồng nghĩa rủi ro đã được loại bỏ. Dữ liệu cá nhân vẫn có thể bị phơi lộ ở nơi doanh nghiệp lưu trữ hoặc xử lý thông tin qua nhà cung cấp, và hậu quả trực tiếp trước tiên thường thuộc về những người có thông tin cá nhân bị lộ.
Nếu thông tin định danh, địa chỉ hoặc tài khoản ngân hàng thực sự nằm trong dữ liệu bị đánh cắp, kẻ xấu có thể dùng chúng để dựng email giả mạo, mạo danh bộ phận nhân sự hoặc tạo yêu cầu thanh toán có vẻ đáng tin. Đây là nguy cơ cần tính đến, nhưng chưa thể khẳng định người bị ảnh hưởng trong vụ này đã bị nhắm tới bằng các hình thức đó.
Với doanh nghiệp, bài học thực tế là cần biết đối tác lưu loại dữ liệu nào, ai có quyền truy cập, cách phát hiện truy cập bất thường và quy trình thông báo khi có sự cố. Việc lựa chọn nhà cung cấp không thể thay thế việc kiểm tra quyền truy cập và kế hoạch ứng phó trong suốt thời gian hợp tác.
Chưa có dấu hiệu cho thấy sự cố ảnh hưởng sản xuất chip
Trong tuyên bố gửi SEC, TSMC khẳng định dữ liệu này tách biệt với hoạt động của công ty và thông tin khách hàng. Các nguồn hiện có cũng không cho thấy dây chuyền sản xuất bị gián đoạn hay thiết kế chip của khách hàng bị lộ. Đây là giới hạn quan trọng khi đánh giá một sự cố liên quan đến hãng sản xuất chip lớn: dữ liệu nhân sự nhạy cảm đáng lo, nhưng không thể đánh đồng với việc công nghệ chế tạo hoặc chuỗi cung ứng chip bị xâm phạm.
TSMC chưa nêu danh tính nhà cung cấp đám mây, số người bị ảnh hưởng hay danh sách trường dữ liệu đã bị lộ. Những chi tiết này sẽ quyết định mức độ rủi ro thực tế đối với nhân viên, trong khi cuộc điều tra với nhà cung cấp và cơ quan chức năng vẫn đang diễn ra.
Nguồn tham khảo: TSMC Form 6-K gửi SEC; The Record; PC Gamer.
