Le géant taïwanais des semi-conducteurs TSMC, qui produit environ 90 % des puces les plus avancées au monde, a confirmé une fuite de données concernant plus de 46 000 de ses employés. L’information a été rendue publique via un dépôt auprès de la Securities and Exchange Commission (SEC) américaine. Selon les rapports, les données auraient été proposées à la vente sur des forums clandestins pour la somme de 3 bitcoins.
Ce que l’on sait de la fuite
Dans son formulaire 6-K déposé jeudi, TSMC a déclaré : « TSMC a découvert que certaines données de nos employés actuels et anciens ont été mises à disposition sur un site Web externe sans autorisation. Actuellement, nous n’avons trouvé aucune preuve que les systèmes de TSMC aient été compromis. » L’entreprise précise que les informations divulguées correspondent à des données « stockées dans les services système d’un fournisseur de services cloud », sans nommer ce dernier.
TSMC a indiqué avoir informé les personnes concernées et leur fournir un soutien. L’entreprise a également engagé le fournisseur de cloud, les autorités d’enquête et une agence de cybersécurité tierce pour « établir les faits et prendre les mesures nécessaires ».
Des données vendues pour 3 bitcoins
Selon le média taïwanais United Daily News, des pirates auraient proposé les dossiers des employés sur un forum clandestin pour 3 bitcoins, en échange de 6,9 Go de données privées. Le média rapporte également que, « selon des informations en ligne », les pirates vendaient aussi ce qui semble être des données d’employés de TSMC sur d’autres forums, publiant un petit échantillon contenant une vaste gamme de détails personnels, notamment des numéros d’identification nationaux, des adresses et des informations bancaires.
TSMC a confirmé dans sa déclaration que les données divulguées ne sont pas liées aux opérations de l’entreprise ni aux informations relatives aux clients. Cela limite l’impact direct sur les activités de fabrication de puces, mais soulève des inquiétudes quant à la sécurité des données personnelles des employés.
Un précédent en 2023
Ce n’est pas la première fois que TSMC fait la une des journaux en matière de cybersécurité. En 2023, le groupe de ransomware LockBit avait tenté d’extorquer 70 millions de dollars à l’entreprise après avoir prétendu l’avoir piratée. TSMC avait alors nié avoir été directement attaquée, révélant que son fournisseur de matériel informatique Kinmax Technology avait été victime d’un « incident de cybersécurité » ayant conduit à la fuite d’informations relatives à la configuration initiale des serveurs. Kinmax avait également publié une déclaration confirmant la violation.
Dans les deux cas, il semble que les systèmes propres de TSMC soient restés sécurisés, mais qu’un tiers ait pu être à l’origine de la fuite. Cela met en évidence les risques liés à la chaîne d’approvisionnement et aux partenaires, même pour les entreprises les plus soucieuses de leur sécurité.
Un contexte de cybersécurité tendu
Cette fuite s’inscrit dans un contexte plus large de multiplication des incidents de cybersécurité. En tant qu’acteur majeur de la chaîne d’approvisionnement technologique, TSMC est une cible de choix pour les pirates cherchant à obtenir des informations sensibles. La valeur des données personnelles des employés, notamment les numéros d’identification et les coordonnées bancaires, peut être exploitée pour des fraudes ou des usurpations d’identité.
L’incident souligne également l’importance pour les entreprises de surveiller étroitement leurs fournisseurs de services cloud et de s’assurer que les mesures de sécurité sont adéquates. TSMC n’a pas précisé si le fournisseur de cloud en question avait été compromis ou si la fuite résultait d’une mauvaise configuration, mais l’enquête en cours devrait apporter des réponses.
Pour l’instant, TSMC affirme que ses opérations et les données de ses clients ne sont pas affectées. Les employés concernés ont été informés et peuvent bénéficier d’un soutien. L’entreprise collabore avec les autorités pour identifier les responsables et prévenir de futurs incidents.
