台積電員工個資 4.6 萬筆遭兜售：官方怎麼說、員工與家人要防哪些詐騙

Table of Contents

近年企業個資外洩事件不少，而且常常不是公司自己的系統出事，而是出在合作的外部廠商。11 月 12 日傳出有駭客在地下論壇兜售據稱是台積電員工的資料，聲稱約 4.6 萬筆，台積電當天出面證實有員工資訊遭未經授權公開，但強調沒有證據顯示自身系統被入侵。

這件事對員工、離職員工和他們的家人最實際的影響，是接下來可能接到冒充公司或銀行的詐騙電話。我們來看看目前已知的事實、台積電的說法，以及可以先做哪些防範。

事件經過

目前公開資訊都來自媒體報導與台積電對媒體的回應，細節如下。

項目	內容	說法來源
論壇貼文	賣家在 DarkForums、BreachForums 等論壇兜售	聯合報、壹蘋新聞網報導
駭客宣稱的規模	約 4.6 萬筆、6.9 GB	自由財經、聯合報報導
開價	3 BTC，媒體換算約新台幣 740 萬元	自由財經、壹蘋新聞網報導
威脅期限	一週內無人購買，就公開全部資料	自由財經、壹蘋新聞網報導
樣本檔	檔名 tsmc.txt，499 筆、每筆 19 個欄位	聯合報、壹蘋新聞網報導
台積電回應	11 月 12 日向媒體證實部分員工資訊遭公開	各媒體引述台積電聲明

媒體報導都註明，4.6 萬筆這個數字與資料內容是駭客的說法，尚未獨立查證。

另外，這些報導沒有說明駭客貼文是哪一天發的，也沒有說明受影響的實際人數。

各媒體引述的台積電聲明內容大致一致，我整理成下表。

重點	台積電的說法
資料狀況	部分現職及離職員工資訊「未經授權被放置於外部網站」
資料來源比對	這些資訊與某家雲端服務供應商系統服務中的資料相符
自身系統	目前沒有證據顯示台積電自身資訊系統遭到入侵
影響範圍	遭公開的資訊不涉及公司生產或客戶相關資料
後續處理	通知受影響的人，並與雲端服務供應商、調查機關和第三方資安機構合作

上表引號內文字出自 Newtalk 新聞轉述的聲明；其餘為各報導對聲明的轉述。

要特別注意的是，截至撰稿時，我在台積電新聞稿頁面（pr.tsmc.com）找不到這份聲明的正式公告，只看到媒體引述。有興趣的讀者，之後可以自行到台積電新聞稿頁面查詢最新說明。

以下幾件事，目前報導和台積電都沒有說明：

這幾點我不做推測，等官方或調查結果公布再看。

台積電說資料與雲端服務供應商系統中的資料相符，很多人的疑問會是：資料放在外部廠商，出事算誰的？

數位時代的報導引用個人資料保護法（個資法）第 4 條，指出受公司委託處理個資的廠商，在法律上視同委託的公司，所以委外不代表責任可以完全轉出去。

報導也提到，非公務機關違反個資法，原則上要負損害賠償責任，除非能證明沒有故意或過失；實際損害難以證明時，法院可依每人每一事件在新台幣 500 元以上、2 萬元以下酌定賠償，同一事件的總額上限為 2 億元。

至於這起事件有沒有人求償、台積電有沒有賠償方案，截至 11 月 12 日報導時，台積電尚未公布任何賠償計畫。法條原文可到全國法規資料庫查詢，這裡只轉述報導的說明，不做法律建議。

數位時代在同一篇報導列出台灣近一個月的幾起資安事件，供讀者對照。這些事件的原因各不相同，彼此是否有關，報導沒有說明。

日期	事件	報導說明
10 月 6 日	104 人力銀行	約 12 萬份履歷遭未經授權存取，入侵途徑未公布
10 月 16 日（29 日公布調查）	91APP	約 479 萬筆消費者訂單、1,329 個品牌可能外洩，與第三方工具未修補的漏洞有關
11 月 3 日	永豐銀行	418 個客戶帳戶遭未授權轉帳，合計 4,176 萬元，與外部廠商系統的安全設定有關
11 月 9 日	易遊網	超過 69 萬人的姓名、電話與訂單資料可能外洩，入侵途徑未公布

這些數字都是該篇報導的整理，個別事件的最新進度，請以各公司的官方公告為準。

以下是站長整理的提醒，沒有另外標示出處的部分屬站長觀點。報導提到，樣本檔欄位涵蓋身分識別、聯絡方式、金融與緊急聯絡人資料，但台積電並未公布實際外流的欄位，這部分仍是駭客的說法。

即使如此，只要資料裡有聯絡方式，詐騙集團就可能拿來冒充公司、銀行或親友。可以先從這幾件事做起。

覺得可疑，可以打 165 反詐騙諮詢專線，或到165 全民防騙網查詢。已經依對方指示轉帳或提供資料，要立刻聯絡銀行並通報 165。