台積電4.6萬筆員工資料傳暗網開價3 BTC！官方證實資訊外流：未發現系統遭入侵證據

近期台灣企業資安事件接連傳出，如今連全球晶圓代工龍頭台積電（2330）也捲入員工個資外流風波。網路傳出有駭客在地下論壇公開兜售台積電員工資料，宣稱掌握約4.6萬筆紀錄、資料容量達6.9GB，並以3枚比特幣（BTC）開價出售，折合新台幣約700多萬元。對此，台積電今（12）日證實，確實發現部分現職及離職員工資訊未經授權被置於外部網站，但強調目前並無證據顯示公司系統遭到入侵，已知相關資訊與某雲端服務供應商系統中的資料相符，且不涉及公司生產或客戶相關資料。

根據媒體揭露，這批資料出現在DarkForums及BreachForums等地下論壇，賣家聲稱持有約4.6萬筆員工紀錄，除了開價3 BTC出售，還揚言若一週內沒有買家，便將全部資料公開。相關消息迅速在社群平台流傳，引發外界對台積電資訊安全及員工個資保護的關注。不過，4.6萬筆及6.9GB均為賣家宣稱的數量，尚未獲得台積電官方確認。

值得注意的是，媒體報導中指出，賣家為取信潛在買家，還釋出一份名為「tsmc.txt」的樣本檔案，聲稱其中包含499筆紀錄、每筆涉及19個欄位，內容涵蓋姓名、生日、職稱、國籍、身分證字號、住址、手機號碼、電子郵件及銀行資訊等，甚至可能涉及緊急聯絡人的個人資料。若相關內容經確認屬實，影響範圍恐不僅限於員工本人，也可能延伸至其家屬及緊急聯絡人。

針對此次事件，台積電發表正式聲明指出：「台積公司發現部分現職及離職員工資訊未經授權被置於外部網站，目前並無證據顯示台積公司系統遭到入侵。」並進一步說明：「已知這些資訊與某雲端服務供應商之系統服務中的資料相符，且與公司生產或客戶相關資料無關。」

對於後續處理，台積電表示，已陸續通知受影響的人員並提供必要協助，同時正與相關雲端服務供應商、調查機關及第三方網路安全機構密切合作，加速釐清事件狀況並採取必要措施。台積電也強調，將持續致力於保護同仁隱私與維護資訊安全。

從台積電目前的回應來看，這起事件有幾個關鍵仍待釐清。首先，遭未經授權公開的資料究竟有多少筆、涉及多少名現職及離職員工，目前尚無官方確認數字；其次，相關資料究竟透過何種管道被取得，以及涉及哪一家雲端服務供應商，也尚未對外說明。

尤其台積電雖然指出相關資訊與雲端服務供應商系統中的資料相符，但這並不等同已經證實該供應商系統遭駭，也無法據此認定資料外流的實際原因。後續仍須透過數位鑑識及相關調查，才能確認事件發生的途徑與責任歸屬。

對於高度依賴全球供應鏈及數位服務的半導體產業而言，這起事件凸顯企業資安防護的範圍，早已不再侷限於自有資訊系統。當企業將人力資源、行政管理或其他業務資料交由第三方雲端服務商處理，即使企業內部系統未遭入侵，外部資料管理環節仍可能形成資訊安全風險。 （相關報導： 從AI晶片製造跨足模型投資！台積電為何擬入股OpenAI、Anthropic？三個觀察解析布局 ｜ 更多文章 ）

事實上，台積電過去也曾面臨供應商資安事件。2023年，台積電供應商擎昊科技遭勒索軟體集團LockBit攻擊，部分與伺服器設定相關的資訊外洩，駭客一度要求7,000萬美元贖金。當時台積電表示，事件並未影響公司營運，也未涉及客戶資料。這兩起事件的資料類型及發生原因不同，不能直接類比，但都凸顯第三方服務商資安管理的重要性。

此次事件另一個值得關注的問題，是員工個人資訊可能被進一步利用的風險。即使資料不涉及先進製程技術、客戶訂單或營業秘密，員工姓名、職稱、聯絡方式及其他個資，一旦遭到惡意人士掌握，仍可能被用於身分冒用、網路釣魚及精準社交工程攻擊。

尤其台積電在全球半導體供應鏈具有關鍵地位，員工的職務背景及工作資訊，可能讓攻擊者更容易鎖定特定對象。例如，透過外洩資料掌握員工的職稱、聯絡方式及個人背景，再假冒公司內部人員、合作廠商或獵才顧問接觸當事人，誘導其提供其他敏感資訊，甚至試圖取得企業系統的存取權限。

不過，這些都是員工個資外流後可能衍生的風險情境，目前並無證據顯示本次事件已經導致相關二次攻擊。

更值得注意的是，隨著生成式AI快速發展，網路犯罪的攻擊門檻與手法也持續改變。過去需要投入大量人力蒐集資料、撰寫釣魚郵件及設計詐騙內容的工作，如今部分流程已能透過AI工具輔助完成，使攻擊者更容易依照不同受害者的背景，製作具有針對性的詐騙訊息。

這樣的趨勢，其實早已受到資安產業關注。本刊資安專題系列報導便曾多次預警，隨著AI技術持續進步，2026年下半年企業面臨的資安攻擊壓力可能進一步升高。近期接連傳出的企業資安事件，也讓外界更加關注AI時代的資安防禦能力。

台積電本身也已將AI列為資訊安全的重要風險因素。根據台積電2025年年報，公司明確指出，隨著人工智慧持續發展，網路攻擊者可能利用AI開發惡意程式碼，以及更複雜的網路釣魚攻擊。台積電也坦言，即使已建立全面性的網路及電腦資安防護措施，仍無法保證完全避免日益複雜的網路威脅。

在防禦方面，台積電表示，持續強化應用程式安全、資料中心自動化掃描、特權帳號管理及關鍵資料保護，並導入AI提升資安防護效率與事件應變速度，藉此強化全球營運據點及雲端平台的安全性。

隨著半導體產業加速全球布局，企業與外部供應商之間的資料交換也日益頻繁。這意味著資安治理不僅需要保護晶圓廠、研發中心及企業內部網路，也必須涵蓋外部服務商的資料存取權限、保存方式、異常監控及事件通報機制。

對台積電而言，此次事件雖然尚無證據顯示公司系統遭到入侵，且官方已明確表示不涉及生產及客戶資料，但員工個資遭未經授權公開，本身仍是一項不容忽視的資訊安全事件。後續能否釐清資料來源、確認受影響範圍，並強化第三方供應商的資料保護措施，將是事件調查與風險控管的主要觀察重點。 （相關報導： 從AI晶片製造跨足模型投資！台積電為何擬入股OpenAI、Anthropic？三個觀察解析布局 ｜ 更多文章 ）

而對整體科技產業而言，這起事件也再次凸顯一項資安課題：企業自身的系統安全，並不必然代表交由外部服務商管理的資料同樣安全；如何將資安治理延伸至整個數位供應鏈，正成為AI時代企業必須面對的挑戰。