Dünyanın en büyük sözleşmeli çip üreticisi Tayvanlı TSMC (Taiwan Semiconductor Manufacturing Company), bazı mevcut ve eski çalışanlarına ait bilgilerin izinsiz olarak harici bir internet sitesine konduğunu 12 Kasım 2026 tarihinde doğruladı. Şirket sistemlerinin ele geçirildiğine dair şu ana kadar bir kanıt bulunmadığını bildiren TSMC, bu bilgilerin bir bulut hizmet sağlayıcısının sistem hizmetlerinde tutulan verilerle eşleştiğini, üretim faaliyetleri ve müşteri verilerinin ise olayla ilgisi olmadığını açıkladı.
TSMC ne açıkladı
TSMC resmi duyurusunu hem Tayvan Borsası'na (TWSE) önemli bilgi bildirimi olarak hem de ABD Menkul Kıymetler ve Borsa Komisyonu'na (SEC) Form 6-K belgesiyle yaptı. «Çalışan kişisel verilerine yetkisiz erişim hakkında açıklama» başlıklı Form 6-K bildirimini şirketin Mali İşler Başkanı (CFO) Wendell Huang imzaladı.
Bildirime göre TSMC'nin kendi kurumsal sistemlerinin ele geçirildiğine işaret eden herhangi bir bulguya rastlanmadı. Harici siteye konan kayıtların bir bulut hizmet sağlayıcısının sistem hizmetlerinde barındırılan verilerle eşleştiği teyit edilirken, bu bulut sağlayıcısının adı ve sunduğu hizmetin kapsamı paylaşılmadı. Şirket ayrıca bilgilerin üretim operasyonları ve müşteri verileriyle bağlantılı olmadığının altını çizdi.
Etkilenen çalışanları bilgilendirmeye başladığını ve gerekli desteği sağladığını kaydeden TSMC; ilgili bulut hizmet sağlayıcısı, soruşturma makamları ve üçüncü taraf bir siber güvenlik kuruluşuyla birlikte inceleme yürüttüğünü belirtti.
Satıcı ne iddia ediyor
Tayvan Merkezi Haber Ajansı'na (CNA) göre dark web'de bir satıcı TSMC'yi hedef göstererek 6,9 GB büyüklüğünde yaklaşık 46.000 çalışan kaydını ele geçirdiğini öne sürdü. İddiaya göre satıcı verileri 3 Bitcoin (yaklaşık 7,4 milyon Yeni Tayvan doları) bedelle açık artırmaya çıkardı ve bir hafta içinde alıcı çıkmazsa tüm kayıtları yayımlamakla tehdit etti. Yaklaşık 46.000 rakamı satıcının iddiasına dayanıyor; TSMC etkilenen kişi sayısını açıklamadı ve Form 6-K bildiriminde sayıya yer vermedi.
Business Next'in haberine göre satıcının paylaştığı «tsmc.txt» adlı örnek dosyada 499 kayıt ve kayıt başına 19 alan bulunuyor. Örneğe göre bu alanlar arasında ad, doğum tarihi, unvan, uyruk, kimlik numarası, adres, cep telefonu, e-posta ve banka bilgilerinin yanı sıra acil durumda aranacak kişinin telefonu ile adresi yer alıyor. Bu alanlar yalnızca satıcının paylaştığı örneğe dayanıyor ve bağımsız olarak doğrulanmadı; TSMC hangi veri türlerinin etkilendiğini paylaşmadı.
Neler açıklanmadı
TSMC'nin resmi bildirimlerinin ardından olayın bazı temel boyutları henüz netlik kazanmadı:
- Verilerin eşleştiği bulut hizmet sağlayıcısının kimliği ve verdiği hizmet
- Bilgilerin nasıl ele geçirildiği
- Sızıntıdan etkilenen gerçek kişi sayısı ve veri türleri
- Saldırganın kimliği
Tayvan'da art arda siber olaylar
Business Next derlemesine göre Tayvan'da son haftalarda peş peşe siber güvenlik olayları yaşandı:
- 104 Job Bank (6 Ekim): İş arama platformunda yaklaşık 120 bin özgeçmiş yetkisiz olarak okundu.
- 91APP: Üçüncü taraf araç Appsmith'teki bir açığın zamanında yamanmaması sonucu 1.329 marka ve yaklaşık 4,79 milyon tüketicinin sipariş verisi risk altına girdi.
- Bank SinoPac (3 Kasım): Dış tedarikçinin sağladığı internet bankacılığı sistemi ayarı nedeniyle 418 müşterinin hesabından 41,76 milyon Yeni Tayvan doları izinsiz transfer edildi.
- ezTravel (9 Kasım): 690 binden fazla kişinin ad, telefon ve sipariş bilgisi risk altına girdi.
- Konsolosluk İşleri Bürosu: Tayvan Dışişleri Bakanlığı'na bağlı büro, TSMC'nin açıklamasıyla aynı gün 72.702 pasaport fotoğrafının çalındığını duyurdu.
91APP ve Bank SinoPac vakaları üçüncü taraf araç ya da tedarikçilerle ilişkiliydi; TSMC olayında ise sorunun tedarikçiden kaynaklandığı henüz kesinleşmedi.
2023'te de tedarikçi kaynaklı bir olay yaşanmıştı
The Record'un aktardığına göre TSMC, Haziran 2023'te tedarikçi bağlantılı bir sızıntı olayı yaşamıştı. O dönemde LockBit fidye yazılımı çetesi TSMC'yi sızıntı sitesinde listeleyerek 70 milyon dolar talep etmişti. TSMC ise kendi sistemlerinin değil, BT donanım tedarikçisi Kinmax'in saldırıya uğradığını, sızan kayıtların sunucu ilk kurulum ve yapılandırma bilgilerinden oluştuğunu açıklamış ve tedarikçiyle veri alışverişini sonlandırmıştı.
Çalışan verisi neden değerli
TSMC'nin üretim faaliyetleri ve müşteri verileri olaydan etkilenmemiş olsa da kişisel çalışan kayıtları saldırganlar açısından önemli bir koz niteliği taşıyor. Kimlik numarası, adres, banka bilgisi ve acil durum kişisi kayıtlarının bir arada sızması; şirket insan kaynakları birimi, banka ya da bir yakın kılığına girilerek yürütülen hedefli oltalama ve telefon dolandırıcılığı girişimlerinde kullanılabiliyor.
Yarı iletken sektörü çalışanları, casusluk ve sosyal mühendislik açısından da değerli hedefler arasında yer alıyor. Bir kurumun kendi iç sistemleri sağlam kalsa bile çalışan verisini işleyen bulut ve insan kaynakları tedarikçileri güvenlik mimarisinde zayıf halka oluşturabiliyor.
Türkiye açısından
Olaydan Türk kullanıcıların ya da Türkiye'deki kurumların etkilendiğine dair herhangi bir bilgi bulunmuyor. Türkiye'de de pek çok şirket bordro, insan kaynakları ve kimlik verilerini bulut tabanlı hizmet sağlayıcılarda barındırıyor. Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca veri işleyen tedarikçide yaşanan bir ihlalden veri sorumlusu şirket de sorumlu sayılıyor ve ihlali Kişisel Verileri Koruma Kurulu'na bildirmekle yükümlü tutuluyor.
Kaynaklar
- TSMC, Form 6-K «Statement Regarding the Unauthorized Access of Employee Personal Data» (SEC, 12 Kasım 2026; StockTitan kopyası)
- CNA (Merkezi Haber Ajansı), 部分員工資訊遭置外部網站 台積電：無證據顯示系統遭入侵 (12 Kasım 2026)
- Taiwan News, TSMC reports leak of employee information (12 Kasım 2026)
- Business Next (數位時代), 台積電員工資料外洩 (12 Kasım 2026)
- The Record, Semiconductor giant says IT supplier was attacked; LockBit makes related claims (30 Haziran 2023)
Kapak görseli: Briáxis F. Mendes (孟必思) / Wikimedia Commons, CC BY-SA 4.0 (TSMC Taichung fabrika binası logosu; kırpıldı, 1200x675).
