我先联网核实台积电这次资料外泄的范围、云端服务商指向、公司公告原文与影响面。
台积电公告原文（含提交给美国 SEC 的 6-K 文件）、黑客样本字段、台湾近期供应链泄露案例都已核实。以下按固定格式输出。
这件事的性质，用一句话说清：台积电自己的信息系统没有被打穿，是它放在第三方云端服务商那里的员工个人资料，被从外面打开了。2026 年 11 月 12 日，台积电向美国 SEC 提交 6-K 文件并在台湾证交所公告，确认部分现职及离职员工资料未经授权出现在外部网站；公司明确表示 “目前没有证据显示台积电系统遭到入侵”，并称这些资料 “经查与某家云端服务供应商系统服务中存储的数据相符”，与公司生产、客户资料无关。市场端的说法更具体：有卖家在 DarkForums、BreachForums 等地下论坛兜售，声称掌握 4.6 万笔记录、6.9GB，开价 3 枚比特币（按当时币价约 22 万美元，折合约 740 万元新台币、约 147 万元人民币），并放话一周内无人购买就全部公开。为取信买家，卖家还放出一份名为 “tsmc.txt” 的样本，499 条记录、每条 19 个字段，涵盖姓名、生日、职称、国籍、身份证号、住址、手机、邮箱、银行账户，甚至紧急联络人的电话和地址。台积电的处置分三路：逐一通知受影响人员并提供协助；与涉事云端服务商、调查机关、第三方网络安全机构联合排查；强调生产与客户数据未受影响。真正还没答的，是三个问题：哪家云商、数据从哪个环节流出、责任怎么分。
一、时间线：从论坛叫卖到公司公告，只用了不到一天
| 时间 | 事件 |
|---|---|
| 11 月上旬 | 卖家在 DarkForums、BreachForums 发帖，点名台积电，附 “tsmc.txt” 样本 |
| 11 月 12 日 | 台湾《经济日报》等媒体报道 “重大信息安全事件” |
| 11 月 12 日盘中 | 台积电回应媒体，确认部分员工资料外泄 |
| 11 月 12 日 | 向美国 SEC 提交 Form 6-K，由 CFO 黄仁昭签署 |
| 11 月 12 日 | 在台湾证交所发布重大讯息 |
| 11 月 12 日起 | 陆续通知受影响员工，联合云商、调查机关、第三方资安机构排查 |
从 “论坛叫卖” 到 “上市公司公告”，不到 24 小时 —— 这个速度说明台积电内部已经能快速比对出数据来源。
二、泄露了什么：19 个字段，足够拼出完整诈骗剧本
| 字段类别 | 具体内容 | 被滥用的方式 |
|---|---|---|
| 身份 | 姓名、生日、国籍、身份证号 | 冒充本人办卡、注册、实名认证 |
| 工作 | 职称、任职状态（现职 / 离职） | 判断谁还在职，提高冒充可信度 |
| 联系 | 手机、邮箱、住址 | 精准钓鱼邮件、短信、上门诈骗 |
| 财务 | 银行账户信息 | 冒充薪资异常、要求改账号 |
| 关系 | 紧急联络人姓名、电话、住址 | 向家属施压、“家属出事” 类骗局 |
样本只有 499 条，但卖家声称总量 4.6 万笔。台积电公告没有确认这个数字，也没有逐一证实样本真伪 —— 这一点必须说清楚：目前 “4.6 万笔、6.9GB” 是卖方口径，不是公司确认的数字。
三、公告里的三句话，每句都要拆开读
| 公告原话 | 实际含义 | 没说的是什么 |
|---|---|---|
| “目前没有证据显示台积电系统遭到入侵” | 内网、晶圆厂系统、客户资料暂未见被攻破迹象 | 还在调查中，“没有证据” 不等于 “已排除” |
| “与某家云端服务供应商系统服务中的数据相符” | 数据存放在第三方，泄露点大概率在云侧 | 哪家云商、哪个服务、什么漏洞，均未披露 |
| “与公司生产或客户相关资料无关” | 划清与 2 纳米制程、CoWoS 封装、客户芯片设计的界限 | 员工个人信息本身仍是受法律保护的个人资料 |
第三句话尤其关键。它同时完成两件事：安抚客户与投资者，避免市场把 “员工个资外泄” 误读成 “制程机密外流”；但也把问题的重心从 “台积电的墙” 转移到 “供应商的门”。
四、为什么 “云商出事” 经常等于 “甲方出事”
| 角色 | 义务 | 现实风险 |
|---|---|---|
| 台积电（委托方） | 选商、定合约、做稽核、出事通知与补救 | 外包不等于免责，台湾《个人资料保护法》第 4 条把受托处理者视为委托方的 “手足” |
| 云端服务商（受托方） | 访问控制、加密、日志、漏洞修补、事件通报 | 一个配置错误、一个未修补漏洞，就能让甲方数据整体暴露 |
| 黑客 / 数据经纪人 | 无 | 只负责叫卖，不管后果 |
| 员工 | 无 | 身份证、住址、银行账户被组合利用 |
台湾《个人资料保护法》第 29 条把举证责任压在 “非公务机关” 身上 —— 企业必须自证 “无故意或过失”。若受害者无法证明实际损失，法院可按每人每事件 500 至 2 万新台币判赔，单一事件总额上限 2 亿新台币（约 640 万美元）。对市值 1.89 万亿美元的台积电来说，这个法定上限不构成财务威胁，真正的威胁是 “同一家云商是否还托管着制程或客户数据”。
五、这起事件属于台湾同一波供应链泄露事件的一部分
| 时间 | 事件 | 规模 | 是否指向外部供应商 |
|---|---|---|---|
| 10 月 6 日 | 104 人力银行简历被未授权读取 | 约 12 万笔 | 是 |
| 10 月 16 日 | 91APP 订单数据外泄（第三方工具 Appsmith 漏洞） | 1,329 个品牌、约 479 万消费者 | 是 |
| 11 月 3 日 | 玉山银行 418 个账户被盗刷 | 4,176 万新台币 | 是（外部供应商新系统） |
| 11 月 9 日 | 易游网（ezTravel） | 逾 69 万人 | 待查 |
| 11 月 12 日 | 台积电员工资料 | 声称 4.6 万笔 | 是（云端服务商） |
台湾五周内披露五起，三起明确指向外部系统。同一模式在海外也在重复：11 月 3 日 Coinbase 确认客户信息经分析供应商外泄、DriveWealth 因社工攻击导致 Revolut 客户数据泄露、11 月 7 日 Gnosis Pay 自曝客户数据事件。这说明当前的主要风险模式已从 “攻击一家公司” 变成 “攻击所有公司共用的那几家供应商”。
六、对台积电生意有没有影响：三条线分开看
| 维度 | 现状 | 判断 |
|---|---|---|
| 产能与制程 | 公告明确与生产、客户资料无关；未见停工消息 | 直接影响有限 |
| 财务基本面 | 10 月营收 5,868.9 亿新台币、同比 + 59.7%；1—10 月累计 4.48 万亿新台币、同比 + 43.3% | 与泄露事件无关，趋势未变 |
| 股价 | 11 月 12 日收盘 413.35 美元（+4.25%）；13 日盘前 393.11 美元（-4.90%） | 盘前下跌主因是英伟达人事风波拖累半导体板块，不宜全部归因于泄密 |
财报窗口在 2027 年 1 月下旬。从公告到财报约两个月，正好是调查给出 “云商名字” 的时间窗。
七、员工与企业可以立刻做的六件事
- 员工侧： 接到 “HR 要求更新银行账号”“薪资异常需验证” 的电话或邮件，一律挂断、回拨公司官方总机核实。
- 员工侧： 把紧急联络人也纳入提醒范围 —— 样本里连他们的电话和住址都有。
- 员工侧： 查一次征信与银行流水异常，发现可疑开户或查询记录立即报备。
- 企业侧： 盘点所有托管员工数据的第三方，按 “是否含身份证、银行账户” 分级。
- 企业侧： 在合同里补三条：事件通报时限、取证配合义务、泄露赔偿与审计权。
- 企业侧： 把 “云商安全评分” 纳入采购准入，而不是只看价格和交付速度。
八、接下来盯四个答案
- 哪家云商？ 台积电至今未点名，这是判断 “是个案还是系统性” 的第一块拼图。
- 数据怎么出去的？ 是配置错误、权限过宽、还是供应商自身被入侵，三种原因对应三种整改。
- 4.6 万笔是真是假？ 样本 499 条已公开，全量是否属实、影响人数多少，需公司或调查机关确认。
- 有没有人已经被骗？ 目前没有公开的诈骗案例，但这批字段的组合价值极高，后续风险大于当下损失。
常见问题
问题 1：台积电这次员工资料外泄，是不是意味着台积电的晶圆厂系统被黑了？
回答 1：不是。台积电公告明确说，目前没有证据显示公司自身系统遭到入侵，外泄资料与某家云端服务供应商系统服务中的数据相符，并且与生产、客户资料无关。所以这是 “供应商那道门被撬”，不是 “晶圆厂被攻破”。
问题 2：4.6 万笔员工资料、6.9GB，这个数字是台积电确认的吗？
回答 2：不是。4.6 万笔、6.9GB、3 枚比特币都是地下论坛卖家的说法；台积电只确认 “部分现职及离职员工资料未经授权被公开”，没有确认总笔数和容量。样本文件 “tsmc.txt” 有 499 条、每条 19 个字段，其真伪也仍待查证。
问题 3：台积电说 “与云端服务商有关”，为什么公司还可能有责任？
回答 3：因为外包不等于免责。台湾《个人资料保护法》第 4 条把受托处理个人资料的供应商视为委托方的延伸，第 29 条还要求企业自证无故意或过失。也就是说，数据虽然放在云上，选商、稽核、通知、补救的责任仍在台积电身上。
问题 4：这次台积电员工资料外泄，普通员工最该防什么？
回答 4：防 “用真资料骗真人”。泄露字段包含姓名、职称、身份证号、手机、邮箱、住址、银行账户和紧急联络人，足够拼出可信度很高的冒充剧本 —— 比如假 HR 要求改薪资账号、假同事借钱、假医院联系家属。凡是涉及转账、改账号、点链接的，都要走官方渠道回拨核实。
问题 5：台积电资料外泄会不会影响它的产能、客户订单和股价？
回答 5：产能和客户订单目前看不到直接影响，因为公告已划清与生产、客户资料的界限，也没有停工消息；基本面仍在高位，10 月营收同比 + 59.7%。股价短期会有情绪波动，但 13 日盘前下跌的主因是英伟达人事风波拖累整个半导体板块，不能全部算在这起外泄事件上。
问题 6：为什么最近台积电、91APP、玉山银行接连出事，都是 “供应商” 惹的祸？
回答 6：因为攻击面已经从 “单家公司” 转移到 “大家共用的少数供应商”。台湾五周内五起披露事件，三起指向外部系统；海外 Coinbase、Revolut、Gnosis Pay 也属同类模式。供应商一旦被攻破，所有接入它的甲方会同时暴露 —— 这也是台积电这起事件最值得企业警惕的地方。
参考资料
[2026-11-13]（台积电称部分员工资料外泄 未发现公司系统遭入侵迹象）新浪财经
[2026-11-13]（台积电证实员工个人信息遭泄露 黑客开价 3 枚比特币）参考消息网（新浪财经）
[2026-11-13]（台媒爆台积电 “重大信息安全事件”：黑客兜售疑似员工个人资料，台积电证实部分信息外泄）环球网
[2026-11-13]（台积电证实部分资料泄露！）电子技术应用 ChinaAET（新浪财经）
[2026-11-12]（台积电回应 “6.9GB 员工资料外泄”）财联社
[2026-11-12]（TSMC discovers data on thousands of current, former employees leaked to external website）Seeking Alpha
[2026-11-12]（Taiwan Chip Giant TSMC Acknowledges Hack Of Reportedly 49,000 Employee Files Occurred But Says Leaked Data Matches That Stored With External Cloud Provider）HotHardware
[2026-11-12]（TSMC confirma una filtración de datos de empleados vinculada a un proveedor de nube）Geeknetic
[2026-11-12]（TSM Stock: TSMC Confirms Employee Data Leak as Seller Seeks…）Capitalists Today
[2026-11-12]（部分员工资讯遭置外部网站 台积电：无证据显示系统遭入侵）格隆汇（新浪财经）
[2026-11-12]（惊爆！台积电大规模泄密！）电子工程专辑
[2026-11-10]（台积电 10 月销售额同比增长 59.7% 环比增长 14.7%）财联社
免责声明
本文基于台积电提交美国 SEC 的 Form 6-K、台湾证交所重大讯息、公司对外回应及公开媒体报道整理，仅作事件梳理与信息安全分析，不构成法律意见或投资建议。文中 “4.6 万笔、6.9GB、3 枚比特币” 等数字来自地下论坛卖家的单方说法，台积电未予确认；受影响人数、涉事云端服务商身份及数据流出环节均待调查机关与公司进一步公布。股价数据为特定时点行情，盘中与收盘、不同市场口径存在差异，且受同期半导体板块波动影响，不应单独归因于本事件。个人资料保护的法律责任认定，须以主管机关调查与司法裁判为准。