駭客在地下論壇宣稱握有 4.6 萬筆台積電員工個資，開價 3 枚比特幣。台積電證實部分員工資料外流，但沒有證據顯示自家系統遭入侵。
（前情提要：易遊網 69 萬人個資遭駭外流，接到「訂單異常」電話先別信）
（背景補充：永豐董事長道歉！解釋「盜轉案」是駭客利用供應商系統入侵）
台積電的說法是：員工資料確實流出去了，但目前看不出是從它自己的系統流出去的。外流的人包括在職和已離職員工，台積電比對後發現，內容跟一家雲端業者服務裡存放的資料一致；同時強調晶圓生產和客戶資料不在這批資料裡。
台積電 12 日中午過後發出完整回應，把重點講明：「目前並無證據顯示台積公司系統遭到入侵」，受影響的人員已陸續收到通知。
駭客宣稱握有什麼？哪些是台積電認的？
事情從兩個地下論壇開始。DarkForums 與 BreachForums 上有人貼文點名台積電，宣稱手上有 4.6 萬筆員工紀錄、共 6.9GB，3 枚比特幣起標，一週內沒人買就全部公開。以 12 日下午幣價計算，3 枚比特幣約新台幣 726 萬元（約 22 萬美元）。
賣家為了證明貨真價實，附上檔名 tsmc.txt 的樣本：499 筆，每筆 19 個欄位。照賣家的說法，從姓名、身分證字號、銀行資訊，到住址、手機、電子郵件、生日、職稱與國籍都有，連緊急聯絡人的電話和住址也一併列入。
不過要分開看的是：以上都是駭客的說法。台積電承認的只有「部分」員工資料外流，4.6 萬筆是否屬實、樣本是否完整，目前沒有人獨立核實。受影響人數、是哪家雲端供應商、資料怎麼流出去，台積電也都還沒公布。
這些資料拿去能做什麼，員工和家人要防什麼？
資安專家評估，姓名、職稱加上公司名稱，足以假冒人資、主管或行政單位發通知；手機和電子郵件湊在一起，則能發釣魚信或假的帳號驗證。至於身分證字號和銀行資訊，對應的是身分冒用與金融詐騙。
其中最難防的是緊急聯絡人欄位。詐騙者不必騙員工本人，可以直接假冒公司人資打給家屬，說員工出事了，或用 AI 深偽冒充員工本人向家人要錢。實際的做法很簡單：接到自稱台積電人資、說員工出事的電話，先掛掉，再自己打給本人或公司確認。
資料也不見得馬上被用，專家提醒，可能在地下市場轉手、比對，數月後才有人拿來行騙。
為什麼又是供應商出事？
這不是台積電第一次碰到這種局面。2023 年 6 月，勒索軟體集團 LockBit 把台積電列上暗網洩密網站，開價 7,000 萬美元，實際被駭的是新竹的 IT 服務供應商擎昊科技（Kinmax），外流的主要是伺服器初始設定與組態資訊。台積電當時說沒有客戶資料外洩，並中止與該供應商的資料交換。
相同點很清楚：兩次台積電都說不是自己的系統，問題出在外部廠商。台灣近期的永豐銀行盜轉案也是同一套說法，董事長道歉時表示，駭客是利用供應商系統入侵。
綜合來看，台積電把晶圓廠和客戶資料守住了，這點目前沒有反證。但員工資料放在別人的系統裡，這一層它沒辦法直接管，只能靠合約和稽核去約束。如果雲端供應商最後被證實就是源頭，這就是供應鏈管理的問題，而不是晶圓廠防線的問題；但反過來，若發現資料確實另有流出管道，那官方內部資安就要緊張了。
📍相關報導📍
Coinbase 否認遭駭！客戶聯絡資料外洩源頭指向 Amplitude
蘋果20萬份機密外洩》包括 iPhone 18 Pro 未發表零件圖、機密供應商清單..
