Taiwan Semiconductor Manufacturing Company（TSMC）は2026年11月12日、現職および元従業員の個人データが外部ウェブサイトに無断で公開されたことを確認した。同社は米証券取引委員会（SEC）への提出書類で、露出した情報が外部クラウドサービス事業者のシステム上に保存されていた記録と一致したと明らかにしている。一方で、TSMC自身のシステムが侵害された証拠は見つかっておらず、半導体生産や顧客データとは無関係だとしている。ただし、地下フォーラムでは46,000件の従業員記録が売りに出されたとの報道もあり、公式発表と売り手の主張の間には大きな隔たりがある。TSMCが確認した事実の範囲と、第三者クラウドを巡る管理上の論点はどこにあるのか。
自社侵害の証拠なし、TSMCが引いた事実の境界線
TSMCが2026年11月12日付で提出したForm 6-Kによると、同社は現職および元従業員の一部データが外部サイトで無断公開された事実を把握した。確認の結果、露出した情報は外部のクラウドサービス事業者が提供するシステムサービス内のデータと一致したという。同社は影響を受けた従業員への通知と必要な支援を進めており、クラウド事業者、捜査当局、外部のサイバーセキュリティ機関と連携して事実関係の究明にあたっている。
TSMCが示した「自社システムが侵害された証拠は現在見つかっていない」という記述は、正確な意味を押さえて読む必要がある。これは現時点の調査結果を示すものであり、社内システムが一切関与していないと証明されたわけではない。また、提出書類は外部クラウド事業者の社名や利用していたサービスの内容、影響を受けた従業員の正確な人数を明かしていない。データが外部へ出た侵入経路、マルウェアの有無、悪用された脆弱性、乗っ取られたアカウントについても公表されていない。
この開示内容から見れば、当面の半導体生産に対する直接的なリスクは、見出しが与える印象よりも限定的と読める。TSMCが露出した情報を事業運営や顧客関連データとは無関係だと明記しているためだ。ただし、調査の進展によってデータセット内に生産情報や顧客情報が含まれていたと判明した場合や、社内ネットワークへのより広範な侵害、操業への支障が確認された場合には、この見立てを改める必要がある。
フォーラム売り手の主張と、従業員に及ぶ実務上のリスク
公式発表とは別に、台湾メディアは地下フォーラム上の売り手による主張を報じている。それによると、売り手は6.9GB、46,000件の従業員記録を含むと称するデータセットを3BTCで出品し、1週間以内に買い手が現れなければ公開すると脅したという。台湾メディアのTaiwan NewsがBusiness Nextの報道を引用して伝えたところでは、サンプルには氏名、国民ID番号、銀行口座情報が含まれていたとされる。また、報道では499件、19項目を含む「tsmc.txt」というサンプルの存在も言及された。
もっとも、46,000件という数字は売り手が主張するレコード数にすぎず、TSMCが確認した個人数や被害者数ではない。データセット全体に対する独立したフォレンジック検証は成立しておらず、TSMCも露出したデータ項目の完全なリストを公表していない。なお、今回の出品は盗み出したとされる記録の売買であり、TSMCが身代金を支払うよう要求された事案ではない。
仮にサンプルの内容が本物であれば、氏名と国民ID番号、銀行口座情報の組み合わせは、従業員や緊急連絡先に対する長期的ななりすましや標的型詐欺に悪用される恐れがある。給与担当者や銀行、サポート窓口を装った精巧な連絡が可能になるためだ。もっとも、確認されている報道の範囲では、流出した情報がすでに詐欺へ使われた事実は示されていない。
売り手が提示する価格の多寡よりも、データの真偽と影響を受ける従業員への迅速な通知が実務上は重い意味を持つ可能性が高い。もし今後の精査で、機微な項目が捏造や古い情報だったと判明したり、実際に露出した記録に含まれていなかったりすれば、リスクの深刻度に関する評価は下がることになる。
| 確認事項 | TSMCの公式確認（Form 6-K） | 売り手・報道の主張 | 今後必要な情報 |
|---|---|---|---|
| 露出の事実と範囲 | 現職・元従業員の一部データが外部サイトに無断公開 | 6.9GB、46,000件の従業員記録を3BTCで出品 | 検証済みのレコード数および個人数 |
| データの保管場所 | 外部クラウド事業者のシステムサービスと一致 | TSMCの従業員データとして提示 | クラウド事業者名と具体的なサービス名 |
| 露出した項目 | 事業運営・顧客データとは無関係と説明 | サンプルに氏名、国民ID、銀行口座情報を含むと報道 | TSMCによる露出項目の完全なリスト |
| 侵入経路と悪用 | 自社システム侵害の証拠なし、原因は調査中 | 1週間以内の公開を予告、不正利用の事実は未確認 | アクセス経路、露出期間、封じ込め措置 |
外部クラウドへの保管は、なぜセキュリティの問いを終わらせないのか
データが外部のクラウド事業者に置かれていたという事実は、TSMCの責任や管理上の論点を終わらせるものではない。TSMCは2025年のForm 20-Fにおいて、第三者のサービス事業者と機密情報を共有していることを認めた上で、契約上の守秘義務やインターネットセキュリティ要件を設けても、すべての事業者がそれを遵守するとは限らないと開示していた。
さらに同社は2024年のサイバーセキュリティ開示で、サプライヤーに対する現地でのセキュリティ監査や、約500社から800人近くが参加したワークショップの実施を説明している。これらは一般的な管理プログラムの説明であり、今回の名前が伏せられたクラウド事業者の統制状況を証明するものではない。
過去の事例を振り返ると、TSMCは2023年6月30日にもITハードウェアのサプライヤーであるKinmax Technologyで発生したサイバー攻撃に伴う情報流出を確認している。この時はサーバーの初期設定や構成に関する情報が流出し、TSMCは同社とのデータ交換を遮断した。ただし、Kinmax Technologyの事案は今回の2026年の事案とは事業者もデータの種類も発生年も異なっており、技術的な因果関係や共通の欠陥を示すものではない。
これらを踏まえると、読者は今回の事案を「TSMCの社内ネットワークの境界が破られたか」という一点ではなく、委託先を含めたデータガバナンスの統制という観点から評価すべきだと読める。未解決の問いは、どの事業者が記録を保持し誰がアクセスできたのか、どのような認証やログ監視で保護されていたのか、さらに別の再委託先へデータが流れていなかったのかという点に集約される。もっとも、事業者名やシステムの構成、契約上の責任分担、実際の持ち出し経路が明らかになるまでは、特定の管理不備を断定することはできない。
被害の実態と影響を測るために必要な次の開示
法規制と被害者対応の側面では、台湾の個人情報保護法（PDPA）第12条に関する施行指針が基準となる。同指針は、データ侵害の通知において、侵害の事実とすでに講じた対応措置を速やかに伝えるべきだとしている。TSMCは従業員への通知と支援を表明しているものの、通知の具体的な内容や時期、対象人数、支援の詳細、監督当局への届出の有無については公表していない。
過去のインシデントとの比較では、事業への影響の性質が大きく異なる。2018年8月に発生したWannaCryの事案では、製造装置が影響を受け、第3四半期の売上高が最大2%減少する見通しをTSMC自身が示していた。比較元と比較先の売上高の絶対値は、確認できた公表資料では示されていない。これに対し、2026年11月の提出書類は、露出した情報が事業運営や顧客データと無関係であると明記している。
現時点で財務上の影響や法的責任、クラウド事業者の過失を推測する材料は揃っていない。今後の調査報告で重視すべき判断材料は、クラウド事業者とサービスの特定、検証済みの被害件数と人数、露出したデータ項目、侵入経路と露出期間、封じ込め措置、そして追加公開の有無である。これらの事実が揃って初めて、今回の情報露出が従業員のプライバシーとTSMCの委託先管理に与える実質的な影響を測ることができる。
