台積電驚傳員工個資外洩！駭客在地下論壇兜售疑似台積電員工資料，聲稱握有4.6萬筆紀錄、容量達6.9GB，開價3枚比特幣（媒體換算約新台幣740萬元），更揚言一週內若無人購買，就將資料全部公開。
台積電11月12日證實，部分現職及離職員工資訊「未經授權被放置於外部網站」，但強調目前沒有證據顯示公司系統遭入侵，外流資料則與某家雲端服務供應商系統中的資料相符。
近期台灣接連發生104人力銀行、91APP、永豐銀行及易遊網等資安事件，其中部分涉及第三方系統。這次台積電的外流原因是否也出在供應商，仍有待調查。
本文目錄
台積電員工個資遭駭，達4.6萬筆
有賣家在DarkForums、BreachForums等地下論壇兜售疑似台積電員工資料。據了解，遭駭資料筆數約4.6萬筆，實際影響人數尚未公布。
台積電已證實部分員工資訊外流，但尚未公布具體欄位。目前流傳的姓名、身分證字號及銀行資訊等，主要來自駭客提供的樣本，仍有待查證。
| 台積電證實 | 駭客樣本宣稱（未經證實） |
|---|---|
| 部分現職及離職員工資訊遭放置於外部網站 | 樣本檔「tsmc.txt」共499筆，每筆19個欄位 |
| 不涉及公司生產或客戶相關資訊 | 包括姓名、生日、職稱、國籍、身分證字號、住址、手機、電子郵件、銀行資訊，以及緊急聯絡人的電話與地址 |
如果駭客提供的樣本屬實，外流資料就不只有電話、電子郵件等聯絡方式，還可能包含身分證字號、銀行資訊，甚至牽連被列為緊急聯絡人的家屬或親友，增加後續遭冒名及詐騙的風險。
台積電稱無證據系統遭入侵，雲端供應商是誰？
台積電表示，經初步了解，外流資料與某家雲端服務供應商系統中的資料相符，目前沒有證據顯示台積電自家資訊系統遭入侵。
公司已陸續通知受影響人員，並與雲端供應商、調查機關及第三方資安機構合作，釐清外流原因。
至於這家供應商是誰、提供哪些服務，以及資料如何外流，截至11月12日，台積電都尚未公布。
即使企業自家系統沒有遭到入侵，委外處理的資料仍可能面臨資安風險。但本案是否確實由供應商端發生外洩，仍須等待調查結果。
資安連環爆，一個多月內還有哪些資安事件？
從104人力銀行、91APP、永豐銀行到易遊網，台灣一個多月內接連發生多起資安事件，如今連台積電也傳出員工資料遭兜售。
| 公布日期 | 公司 | 規模 | 已公布的破口或調查進度 |
|---|---|---|---|
| 10月6日 | 104人力銀行 | 約12萬筆履歷遭未經授權讀取 | App系統遭異常讀取，途徑未公布 |
| 10月16日（29日公布調查） | 91APP | 1,329家品牌、約479萬名消費者訂單資料恐外洩 | 第三方工具Appsmith的漏洞未及時修補 |
| 11月3日 | 永豐銀行 | 418名客戶帳戶遭盜轉4,176萬元 | 外部供應商提供的新網銀交易系統安全設定 |
| 11月9日 | 易遊網 | 逾69萬人姓名、電話與訂單資訊恐外洩 | 會員中心遭攻擊，入侵途徑未公布 |
| 11月12日 | 台積電 | 駭客自稱握有4.6萬筆員工資料 | 資料與某雲端服務供應商系統相符，調查中 |
值得注意的是，91APP與永豐銀行的事件，都涉及第三方工具或供應商提供的系統。台積電這次也提到雲端供應商，但目前尚不能據此認定外洩原因。
這幾起事件反映出，企業除了保護自家系統，也必須管理外部供應商的資安風險，避免資料在委外處理過程中出現漏洞。
台積電員工個資外洩怎麼辦？5件事先做
台積電已陸續通知受影響人員。現職、離職員工，以及可能被列為緊急聯絡人的家屬，可先採取以下5項措施：
- 確認是否收到公司通知：留意台積電發出的個資事件通知，確認自己是否受到影響。
- 查詢個人信用報告：向聯徵中心申請信用報告，檢查是否出現異常信用紀錄，留意冒名申辦貸款或信用卡的風險。
- 留意銀行帳戶動態：開啟網銀及信用卡交易通知，若發現不明交易，立即聯絡銀行。
- 提防假冒公司、銀行的詐騙：詐騙者可能掌握姓名、職稱或住址，假冒台積電人資、福委會或銀行人員。遇到要求提供驗證碼、操作ATM或點擊不明連結的訊息，應透過官方管道查證，也可撥打165反詐騙專線。
- 提醒緊急聯絡人：若親友資料可能外流，應事先提醒家人提防假冒員工發生意外、緊急需要匯款等詐騙電話。
台積電員工個資外洩能求償嗎？
若問題出在雲端廠商，台積電也要負責嗎？
依《個人資料保護法》第4條，受委託蒐集、處理或利用個資的廠商，在個資法適用範圍內，視同委託機關。
換句話說，企業將員工資料交由外部廠商處理，不代表可以完全免除個資保護責任。
如果調查證實資料從雲端供應商外流，台積電是否須負賠償責任，仍要看雙方是否違反個資法、是否造成損害等具體情況。至於台積電與供應商之間如何分擔責任，也須依調查結果及契約判斷。
能求償多少？
根據《個人資料保護法》第29條，非公務機關違反個資法，導致個資遭不法蒐集、處理、利用或侵害當事人權利，原則上應負損害賠償責任，除非能證明自己沒有故意或過失。
如果受害者不易或不能證明實際損害金額，依第29條準用第28條，可請求法院依侵害情節，按每人每一事件新台幣500元至2萬元計算賠償。是否成立賠償責任、實際金額多少，仍須視個案認定。
若同一事件造成多人受害，賠償合計最高以2億元為限；但事件所涉利益超過2億元時，以該利益為限。若損害總額超過法定上限，每人也不再受500元最低賠償額的保障。
截至11月12日，台積電尚未公布補償方案。受影響員工可先保留公司通知、相關證據及後續損失紀錄，並留意是否有符合個資法第34條資格的公益團體發起團體訴訟。
延伸閱讀
資料來源：民視財經、全國法規資料庫｜個人資料保護法
本文初稿為AI編撰，整理．編輯/ 林育萱
