هک اطلاعات کارکنان TSMC در انجمن‌های زیرزمینی؛ شرکت تأیید کرد اما سیستم‌های خود را بی‌تقصیر دانست
هکرها در انجمن‌های زیرزمینی ادعا کرده‌اند که به اطلاعات شخصی ۴۶ هزار کارمند TSMC دست یافته‌اند و برای فروش آن ۳ بیت‌کوین قیمت تعیین کرده‌اند. شرکت TSMC ضمن تأیید نشت بخشی از اطلاعات کارکنان، اعلام کرده است که هیچ مدرکی مبنی بر نفوذ به سیستم‌های داخلی خود ندارد.
جزئیات ادعای هکرها و واکنش TSMC
TSMC در بیانیه‌ای که پس از ظهر روز ۱۲ ماه جاری منتشر شد، اعلام کرد: “در حال حاضر هیچ مدرکی مبنی بر نفوذ به سیستم‌های شرکت TSMC وجود ندارد.” این شرکت همچنین تأیید کرد که اطلاعات مربوط به کارکنان فعلی و سابق درز کرده است. TSMC پس از بررسی، اعلام کرد که محتوای اطلاعات فاش شده با داده‌های ذخیره شده در سرویس یکی از ارائه‌دهندگان خدمات ابری مطابقت دارد. این شرکت همچنین تأکید کرد که اطلاعات مربوط به تولید ویفر و داده‌های مشتریان در این مجموعه اطلاعاتی وجود ندارد.
این موضوع از دو انجمن زیرزمینی آغاز شد. در انجمن‌های DarkForums و BreachForums، افرادی با انتشار پست‌هایی، TSMC را هدف قرار داده و ادعا کردند که به ۴۶ هزار رکورد اطلاعات کارکنان به حجم ۶.۹ گیگابایت دست یافته‌اند. قیمت پایه برای این اطلاعات ۳ بیت‌کوین تعیین شده بود و اعلام شد که در صورت عدم فروش طی یک هفته، تمامی اطلاعات به صورت عمومی منتشر خواهد شد. با محاسبه قیمت بیت‌کوین در بعدازظهر روز ۱۲ ماه جاری، ۳ بیت‌کوین حدود ۷.۲۶ میلیون دلار تایوان (حدود ۲۲۰ هزار دلار آمریکا) ارزش داشت.
برای اثبات صحت اطلاعات، فروشنده نمونه‌ای از فایل با نام tsmc.txt را منتشر کرد که شامل ۴۹۹ رکورد و ۱۹ فیلد در هر رکورد بود. طبق ادعای فروشنده، این اطلاعات شامل نام، شماره شناسنامه، اطلاعات بانکی، آدرس، شماره تلفن همراه، ایمیل، تاریخ تولد، سمت شغلی و ملیت بوده و حتی اطلاعات تماس و آدرس فرد/افراد تماس اضطراری نیز در آن گنجانده شده بود.
با این حال، لازم به ذکر است که این‌ها صرفاً ادعاهای هکرها هستند. TSMC تنها “بخشی” از اطلاعات کارکنان را تأیید کرده است و صحت ادعای ۴۶ هزار رکورد و کامل بودن نمونه منتشر شده هنوز به طور مستقل تأیید نشده است. تعداد افراد تحت تأثیر، نام ارائه‌دهنده خدمات ابری و چگونگی نشت اطلاعات نیز هنوز توسط TSMC اعلام نشده است.
ارزیابی کارشناسان امنیتی و ریسک‌های احتمالی
کارشناسان امنیتی معتقدند که نام، سمت شغلی و نام شرکت برای جعل هویت مسئولان منابع انسانی، مدیران یا واحدهای اداری جهت ارسال اطلاعیه‌های جعلی کافی است. ترکیب شماره تلفن همراه و ایمیل نیز می‌تواند برای ارسال ایمیل‌های فیشینگ یا تأیید حساب کاربری جعلی مورد استفاده قرار گیرد. در مورد شماره شناسنامه و اطلاعات بانکی نیز، این اطلاعات می‌توانند برای سرقت هویت و کلاهبرداری مالی مورد استفاده قرار گیرند.
یکی از دشوارترین جنبه‌های این نشت اطلاعات، فیلد مربوط به فرد تماس اضطراری است. در این حالت، کلاهبرداران نیازی به فریب خود کارمند ندارند و می‌توانند مستقیماً با خانواده کارمند تماس گرفته و ادعا کنند که اتفاقی برای کارمند افتاده است، یا با استفاده از فناوری دیپ‌فیک (Deepfake) صدای کارمند را شبیه‌سازی کرده و از خانواده او پول درخواست کنند. کارشناسان توصیه می‌کنند در صورت دریافت تماس از سوی فردی که خود را مسئول منابع انسانی TSMC معرفی کرده و ادعای وقوع حادثه‌ای برای کارمند دارد، ابتدا تماس را قطع کرده و سپس با خود کارمند یا شرکت تماس گرفته و موضوع را تأیید کنند.
کارشناسان همچنین هشدار دادند که اطلاعات فاش شده ممکن است بلافاصله مورد استفاده قرار نگیرند و در بازار زیرزمینی دست به دست شده و پس از ماه‌ها مورد سوءاستفاده قرار گیرند.
سابقه مشابه و درس‌های آموخته شده
این اولین بار نیست که TSMC با چنین وضعیتی روبرو می‌شود. در ژوئن ۲۰۲۳، گروه باج‌افزار LockBit، TSMC را در وب‌سایت افشای اطلاعات خود در دارک‌وب قرار داد و ۷۰ میلیون دلار درخواست کرد. در آن زمان، در واقع ارائه‌دهنده خدمات IT در هانژو، شرکت Kinmax، مورد حمله قرار گرفته بود و اطلاعات اصلی فاش شده مربوط به پیکربندی اولیه و تنظیمات سرورها بود. TSMC در آن زمان اعلام کرد که هیچ اطلاعات مشتریانی فاش نشده است و تبادل اطلاعات با آن تأمین‌کننده را متوقف کرد.
نکته مشترک در هر دو مورد این است که TSMC اعلام کرده است سیستم‌های داخلی‌اش مورد نفوذ قرار نگرفته‌اند و مشکل از سوی تأمین‌کنندگان خارجی بوده است. در مورد پرونده اخیر سرقت از حساب‌های بانکی در تایوان که بانک Yongfeng را درگیر کرد نیز همین ادعا مطرح شد و مدیرعامل بانک در هنگام عذرخواهی اعلام کرد که هکرها از طریق سیستم‌های تأمین‌کننده نفوذ کرده‌اند.
با در نظر گرفتن این موارد، TSMC توانسته است اطلاعات مربوط به کارخانه‌های ویفر و مشتریان خود را حفظ کند که تاکنون هیچ مدرکی خلاف آن ارائه نشده است. اما در مورد اطلاعات کارکنان که در سیستم‌های دیگران ذخیره شده است، TSMC کنترل مستقیمی ندارد و تنها می‌تواند از طریق قراردادها و ممیزی‌ها بر آن‌ها نظارت کند. اگر مشخص شود که ارائه‌دهنده خدمات ابری منبع اصلی نشت اطلاعات بوده است، این موضوع به مسئله مدیریت زنجیره تأمین مربوط می‌شود و نه به خط دفاعی کارخانه ویفر. اما اگر مشخص شود که اطلاعات از کانال‌های دیگری نیز نشت کرده است، آنگاه مسائل امنیتی داخلی شرکت باید به طور جدی مورد توجه قرار گیرد.
