TSMC doğruladı: mevcut ve eski çalışanlara ait veriler izinsiz olarak harici bir sitede yayımlandı; şirket kendi sistemlerinde ihlal izi görmediğini söylüyor
TSMC, 12 Kasım'da ABD Menkul Kıymetler ve Borsa Komisyonu'na (SEC) sunduğu açıklamada bazı çalışan verilerinin yetkisiz biçimde harici bir sitede erişime açıldığını bildirdi. Şirkete göre veriler bir bulut hizmet sağlayıcısının sistemlerindeki kayıtlarla eşleşiyor; operasyonlar ve müşteri verileri etkilenmedi. Yaklaşık 46.000 kayıt ve 3 Bitcoin talebi ise satıcının iddiası.
Dünyanın en büyük sözleşmeli çip üreticisi TSMC, mevcut ve eski çalışanlarından bir bölümüne ait verilerin izinsiz olarak harici bir internet sitesinde erişime açıldığını doğruladı. Şirket konuyu 12 Kasım'da SEC'e sunduğu bir açıklamayla duyurdu. Wccftech'in aktardığı metne göre TSMC, şu an için kendi sistemlerinin ele geçirildiğine dair bir kanıt bulmadığını belirtiyor.
Açıklamanın en önemli cümlesi verinin kaynağıyla ilgili: TSMC, yayımlanan kayıtların bir bulut hizmet sağlayıcısının sistem servislerinde tutulan verilerle eşleştiğinin doğrulandığını, bu verilerin şirketin operasyonlarıyla ya da müşterilerine ait bilgilerle ilgisi olmadığını söylüyor. Sağlayıcının adı açıklanmadı. Şirket; bulut sağlayıcısı, ilgili soruşturma makamları ve bağımsız bir siber güvenlik firmasıyla birlikte çalıştığını bildirdi.
Bu haber, bugün yayımladığımız TSMC'nin Anthropic ve OpenAI yatırım kararından bağımsız bir gelişmedir.
Doğrulanan ne, iddia edilen ne?
TSMC'nin doğruladıkları:
- Mevcut ve eski bazı çalışanlara ait veriler yetkisiz biçimde harici bir sitede yayımlandı.
- Veriler bir bulut hizmet sağlayıcısındaki kayıtlarla eşleşiyor.
- Şirket sistemlerinde ihlal izi şimdilik bulunmadı; üretim ve müşteri verileri kapsam dışında.
Şirketin doğrulamadığı, basına yansıyan iddialar:
- Wccftech'e göre verileri elinde tuttuğunu öne süren kişi yaklaşık 46.000 kayıttan ve 6,9 GB'lık bir dosyadan söz ediyor; verileri yayımlamamak için 3 Bitcoin talep ettiği aktarılıyor. Aynı haberin başlığında sayı 49.000 olarak geçiyor; rakamlar tutarlı değil.
- Paylaşılan örnek dosyada adres, banka hesap numarası ve acil durumda aranacak kişi bilgileri bulunduğu öne sürülüyor.
TSMC etkilenen kişi sayısını ve veri türlerini açıklamadı. SiberMagazin söz konusu verileri görmedi ve doğrulamadı; satış ilanının yer aldığı platformlara bağlantı vermiyoruz.
Neden önemli?
Olay, şirket ağına hiç girilmeden de çalışan verisinin sızabileceğini gösteriyor. İnsan kaynakları, bordro, yan haklar ve işe alım gibi süreçler çoğu kurumda dış bulut servislerinde yürüyor; bu servislerdeki bir erişim sorunu, kurumun kendi güvenlik yatırımından bağımsız olarak veriyi açığa çıkarabiliyor. Çalışan verisi ayrıca hedefli phishing ve sosyal mühendislik için ham madde: adres ve yakın bilgisi içeren kayıtlar, "İK'dan arıyorum" senaryolarını inandırıcı kılıyor. Yarı iletken sektöründe bu risk, mühendislere yönelik casusluk girişimleri nedeniyle daha da ağır.
Ne yapılmalı?
- Çalışan verisi işleyen tüm dış servislerin (bordro, İK, yan haklar, işe alım, seyahat) envanterini çıkarın; her birinde hangi veri alanlarının tutulduğunu ve kimin eriştiğini yazılı hale getirin.
- Bu servislerdeki yönetici hesaplarında MFA'yı, API anahtarlarının yaşını ve son kullanım kayıtlarını gözden geçirin; kullanılmayan entegrasyonları kapatın.
- Sözleşmelerde ihlal bildirim süresini ve log paylaşım yükümlülüğünü kontrol edin; sağlayıcıdan erişim loglarını isteyebildiğinizden emin olun.
- Gereğinden fazla veri göndermeyin: sağlayıcının işine yaramayan banka, adres ve yakın bilgisi alanlarını aktarımdan çıkarın.
- Benzer bir olayda çalışanları hızla bilgilendirin; İK ya da banka adına gelen arama ve mesajlara karşı uyarın. Türkiye'de kişisel veri ihlallerinde KVKK'ya 72 saat içinde bildirim yükümlülüğü bulunuyor.
- Şantaj talebiyle karşılaşırsanız ödeme kararını tek başınıza vermeyin; hukuk birimi ve kolluk ile birlikte hareket edin.
