大型晶圓廠資安防護嚴密，駭客便可能轉向資源較少的設備供應商，再將木馬或病毒植入機台，隨設備進入晶圓廠。數位發展部長林宜敬指出，台積電（2330）位居民主半導體供應鏈核心，駭客知道直接攻擊台積電難度較高，因此可能改採供應鏈攻擊，讓中小設備商成為進入晶圓廠的跳板。
為補強設備端破口，台灣主導制定的半導體設備資安標準SEMI E187，正進一步建立獨立、開放及透明的測試認證體系。目標是讓機台完成一次驗證後，便能獲得不同晶圓廠及全球供應鏈認可，降低重複測試成本；日本也已將E187納入半導體設備要求。
駭客從最弱供應商繞進大型晶圓廠
林宜敬以iPhone為例指出，一支智慧型手機背後可能包含美國品牌、台灣晶片、荷蘭設備、日本零組件、以色列資安及法國AI模型，是高度國際化的民主供應鏈。
台積電位於這套供應鏈核心，但大型晶圓廠資安資源充足，直接突破難度相對較高。駭客因而可能先攻擊設備供應商，把木馬或病毒植入設備，再隨設備進入晶圓廠。
這類供應鏈攻擊不只影響辦公室資訊系統。當惡意程式進入營運科技（Operational Technology，OT）環境，可能干擾設備運轉、製程參數及生產排程，甚至導致產線停擺。
E187保護設備端點，連結IT與OT安全
SEMI E187是針對半導體製造設備端點資安制定的規範，涵蓋作業系統、網路安全、帳號管理、惡意程式防護及設備端安全要求。
台灣於2022年發布SEMI E187後，台積電進一步要求具連網能力的新設備納入E187檢查表，帶動設備供應鏈採用。SEMI也於2025年SEMICON Taiwan正式推動E187認證，今年則進一步朝開放測試與跨國互認發展。
工研院資訊與通訊研究所副所長黃維中表示，E187目前正進入下一階段，希望把標準轉化為獨立、開放且明確的認證制度，確認設備供應商是否真正落實規範。
設備測試一次，目標獲得整條供應鏈認可
黃維中指出，認證體系需要把E187條文轉化為具體測試程序及證據，才能判斷設備商是否完成要求。
目前台灣已有約4家測試實驗室投入，其中至少一家是國際企業。這項數字是他在現場以概略方式說明，最終家數仍應以SEMI正式公布資料為準。
認證制度的目標，是讓設備只需測試一次，便能被整條供應鏈認可與信任。設備商不必因應不同晶圓廠要求，重複進行內容相近的驗證，也有助降低中小企業的合規負擔。
黃維中表示，E187要走向全球，必須建立開放生態系，讓台灣與不同國家的實驗室、設備商及晶圓廠都能參與。
日本已納設備要求，下一步延伸至Tier 1、Tier 2
東京大學教授江崎浩表示，日本相關委員會已把SEMI E187納入半導體設備要求，且已對外公布。
下一步，日本將與產業討論如何把資安要求延伸至不同供應商，包括Tier 1、Tier 2及其他供應鏈企業。
江崎浩指出，未來無人工廠、AI工廠及不同系統間的連結愈來愈複雜，資安要求不能只停留在資訊科技（Information Technology，IT），也必須涵蓋OT。
日本產業不希望只建立國內標準，而是希望形成全球共同要求與認證制度，讓設備安全能力像產品品質一樣，成為參與全球供應鏈的基本條件。
法國主張安全內建，荷蘭串聯5,000家供應商
法國原子能暨替代能源委員會台灣辦事處代表Jean-Christophe Bonté表示，即使是例行且可信任的操作，也可能成為攻擊入口。
資安韌性不代表能完全避免事件，而是要具備預防、控制影響及盡快恢復生產的能力。E187提供設備資安的共同參考，未來若延伸至上游供應鏈，可把軟體、硬體、系統整合及維護服務商納入同一套安全方法。
曾任ASML（Nasdaq：ASML）生態系資安主管的CyberAlloy資安策略顧問Piet Bel表示，ASML周邊約有5,000家供應商，許多中小企業沒有足夠資源建立獨立資安團隊。
荷蘭因此透過公私協力，讓企業、政府與資安專家建立合作網絡。一旦半夜發生事件，業者能直接找到可信任專家提供協助。
黃維中強調，半導體資安不能只保護最上層的大型晶圓廠，也必須照顧數量眾多的中小設備商。攻擊者會尋找供應鏈最弱的一環，E187認證能否真正補上破口，取決於中小企業是否有能力落實，而非只完成一張檢查表。
