요약:
세계 최대 파운드리 기업 TSMC가 일부 전·현직 직원의 개인정보가 무단으로 외부 사이트에 공개된 사실을 최근 확인했습니다. TSMC는 예비 조사에서 회사 자체 정보 시스템이 손상되었다는 증거를 찾지 못했다고 밝혔습니다. 관련 데이터는 타사 클라우드 서비스 제공업체의 시스템에 저장된 정보와 일치했지만 TSMC의 생산 운영, 영업 비밀 또는 고객 관련 데이터는 포함되지 않았습니다.
TSMC는 지난 11월 12일 미국 증권거래위원회(SEC)에 6-K 문서를 제출해 직원 개인정보 유출 사실을 공식적으로 밝혔습니다. 회사는 일부 직원 개인정보가 무단으로 외부 홈페이지에 게시된 사실을 확인했다고 밝혔다. 현재 이용 가능한 정보는 해당 정보가 클라우드 서비스 제공업체의 시스템 서비스에 저장된 데이터와 일치함을 보여줍니다.
TSMC는 현재 회사 내부 시스템이 침해됐다는 증거는 없으며, 이번 사건과 관련된 생산 운영 정보나 고객 데이터도 발견되지 않았다고 강조했다. 회사는 피해를 입은 전·현직 직원에게 이를 알리고 필요한 지원을 제공하고 있습니다. 동시에 TSMC는 관련 클라우드 서비스 제공업체, 조사 기관 및 제3자 네트워크 보안 기관과 협력하여 구체적인 사건을 파악하고 상응하는 조치를 취했습니다.
TSMC가 관련 클라우드 서비스 제공업체의 이름을 공개하지 않았으며, 영향을 받은 직원 수와 관련 개인정보 유형을 공개하지 않았다는 점은 주목할 가치가 있습니다.
이 사건과 관련된 단서는 이전에 사이버 범죄 포럼에 나타났습니다. 사이버보안 매체에 따르면 지난 11월 8일 신원이 밝혀지지 않은 사이버범죄자가 지하 포럼에 TSMC 직원 데이터를 판매했다는 소식이 게시됐다. 그는 약 46,000명의 직원 기록을 보유하고 있으며 총 데이터 용량은 6.9GB라고 주장하며 구매자에게 당시 미화 약 20만 달러에 해당하는 비트코인 3개를 지불하라고 요구했습니다. 게시자는 또한 일주일 이내에 아무도 구매하지 않으면 모든 데이터를 공개하겠다고 위협했습니다.
대만 언론 보도에 따르면 관련 포럼에 표시된 일부 데이터 샘플에는 직원 이름, ID 번호, 은행 계좌 정보와 같은 민감한 정보가 포함되어 있다고 합니다. 그러나 이러한 내용은 여전히 사이버범죄자들의 일방적인 진술에 불과합니다. TSMC는 유출된 데이터의 양, 파일 크기, 구체적인 정보 카테고리를 공식적으로 확인하지 않았으며, 포럼에서 판매된 데이터가 회사가 공개한 사건과 정확히 일치하는지 확인하지 않았습니다.
TSMC가 제출한 규제 문서에 따르면 회사는 현재 타사 클라우드 서비스 제공업체의 데이터 보안 문제에 대한 조사에 집중하고 있습니다. 해당 정보는 클라우드 서비스 제공업체의 시스템에 저장된 데이터와 일치하므로 조사관은 해당 데이터가 클라우드 서비스 제공업체 내에서 도난당한 것인지, 동일한 정보에 접근할 수 있는 다른 시스템이나 채널을 통해 유출된 것인지 추가로 확인할 필요가 있다.
이는 TSMC가 자체 내부망이 침해된 사실을 발견하지 못했지만, 직원의 개인정보가 외부 서비스 제공자를 통해 유출됐을 가능성도 배제할 수 없다는 의미이기도 하다. 대규모 다국적 기업의 경우 인사, 급여 관리, 직원 신원 확인 및 기타 관리 서비스가 외부 클라우드 플랫폼에 의존해야 하는 경우가 많습니다. 제3자 서비스 제공업체의 보안 조치에 허점이 생기면 회사 자체가 직접적인 공격을 받지 않더라도 심각한 데이터 유출 위험에 직면할 수 있습니다.
TSMC는 최근 몇 년간 네트워크 보안 문제에 큰 중요성을 부여해 왔습니다. 2023년에는 공급업체와 관련된 랜섬웨어 공격을 받았습니다. 당시 사이버범죄 조직인 락비트(LockBit)는 TSMC의 공급망과 관련된 데이터를 입수했다고 주장하며, 갈취를 통해 관련 기업에 몸값을 지불하도록 강요하려 했다. TSMC는 이후 이번 사건이 IT 하드웨어 공급업체인 킨맥스 테크놀로지(Kinmax Technology)에 대한 공격에서 비롯됐다고 밝혔으며 생산 시스템에는 영향을 미치지 않았다고 강조했다.
또한 TSMC는 첨단 공정 기술 비밀을 훔치고 유출하려 한 혐의로 2025년 직원 2명을 해고했습니다. 관련 사고는 내부 정보 관리 및 기술 기밀성 측면에서 반도체 업계가 직면한 복잡한 보안 문제를 더욱 부각시켰습니다.
세계에서 가장 중요한 반도체 제조업체 중 하나인 TSMC는 Nvidia, Apple, AMD, Qualcomm 및 Broadcom과 같은 많은 기술 회사에 칩 제조 서비스를 제공합니다. 첨단 공정 기술과 생산 운영 데이터는 상업적 가치가 매우 높기 때문에 외부 세계는 항상 회사의 네트워크 보안 시스템에 세심한 주의를 기울여 왔습니다.
그러나 이번 사건과 생산시스템 침해는 서로 다른 차원의 문제다. 현재 TSMC가 공개한 정보에 따르면 영향을 받는 것은 칩 설계, 고객 주문, 제조 공정 또는 팹 생산 데이터가 아닌 일부 직원의 개인 데이터입니다. 회사는 고객 정보가 영향을 받았다는 증거를 찾지 못했습니다.
이번 사건은 극도로 높은 보안 보호 능력을 갖춘 글로벌 거대 기술 기업이라도 제3자 공급망으로 인해 발생하는 사이버 보안 위험에서 완전히 벗어날 수 없음을 다시 한 번 보여줍니다. 기업의 데이터 보안 경계는 더 이상 자체 서버와 내부 네트워크로 제한되지 않습니다. 아웃소싱 서비스 제공업체, 클라우드 플랫폼, 다양한 협업 시스템도 돌파구를 모색하는 공격자의 표적이 될 수 있습니다.
현재 TSMC는 관련된 클라우드 서비스 제공업체의 신원을 발표하지 않았으며 영향을 받는 직원의 최종 수도 공개하지 않았습니다. 회사가 법 집행 기관 및 제3자 사이버 보안 팀과 함께 계속 조사하고 있는 가운데, 데이터 침해의 구체적인 출처, 확산 범위 및 기타 민감한 정보가 관련되었는지 여부는 추가로 확인되어야 합니다.
댓글