台積電於 11 月 12 日向美國證券交易委員會（SEC）申報 TSMC Form 6-K，，正式說明員工個人資料未經授權出現在外部網站。這份文件是目前唯一由公司具名、可直接引用的官方文本，也是判斷哪些說法已被證實、哪些仍屬暗網賣家宣稱的分界線。
官方文件說了什麼
這份 6-K 由台積電資深副總經理暨財務長黃仁昭（Wendell Huang）署名，申報日為 2026 年 11 月 12 日，全文不到 200 字，涵蓋五個重點：
- 部分現職與離職員工資料在未經授權的情況下被放置於外部網站。
- 目前沒有證據顯示台積電自身系統遭到入侵。
- 相關資料經核對後，與某家雲端服務供應商系統服務中的資料相符。
- 外流資料與公司營運及客戶相關資料無關。
- 公司已通知受影響人員並提供協助，同時與該雲端供應商、調查機關及第三方資安機構合作釐清事實。
6-K 是外國私人發行人依 1934 年證券交易法 13a-16 或 15d-16 規則提交的報告，台積電在紐約證券交易所以 ADR 掛牌，申報檔案編號 001-14700。這個申報動作本身的意義不小，公司把這起事件視為足以影響美國投資人的資訊，而不只是台灣本地的一則公關新聞。
核實哪些說法有官方背書，哪些沒有
把 SEC 文件與論壇貼文、台灣媒體報導逐項對照，可以清楚分成兩組。
已有官方確認
資料確實外流、來源指向雲端服務供應商、不是臺積電內部系統被駭、不涉及生產與客戶資料、受影響人員已陸續被通知、已啟動外部調查。
仍屬暗網賣家或部份媒體說法
約 4.6 萬筆紀錄、6.9GB 檔案大小、樣本檔 tsmc.txt 內含 499 筆與 19 個欄位、開價 3 枚比特幣、一週內未售出就全部公開、現職與離職員工的比例。
換句話說，新聞標題上的4.6 萬筆到現在還沒有台積電的官方數字背書。聯合報、自由時報與多家外媒的寫法也一致，都註明這個數量是賣家宣稱。台積電至今未公布受影響人數，也未指名是哪一家雲端服務供應商。
時間軸與 3 BTC 的價格核實
論壇貼文在 11 月 11 日出現於 DarkForums 與 BreachForums，隨即在 X 與 Threads 上被截圖轉傳。台積電在 11 月 11 日接獲媒體查證，12 日上午由公關提出初步回應，同日晚間在 SEC 完成 6-K 申報。
價格部分，以 11 月 12 日的比特幣報價計算，1 BTC 約 73,974 美元、約新台幣 243.2 萬元，3 BTC 約 22.2 萬美元、約新台幣 729.6 萬元。
為什麼一批人事資料值得用 6-K 交代
外流的不是製程參數，也不是客戶名單，卻是公司最難完全掌控的一塊，存在第三方系統裡的人事資料。19 個欄位的組合，對詐騙集團的價值遠高於單一姓名與電話。
姓名、職稱與公司資訊足以冒充人資或內部行政人員，手機與 Email 可以串接釣魚郵件與假通知，身分證字號與銀行資訊則直接關係到帳戶與薪資。更關鍵的是緊急聯絡人欄位，當攻擊者同時掌握員工與其家人，就能設計出公司通知家屬出事」\或AI 深偽冒充本人要求匯款這類高可信度釣魚詐騙劇本。
另一層價值是人才情報。半導體產業的職稱、國籍與聯絡方式本身就是可交叉比對的線索，攻擊者可以先假冒獵才顧問或合作廠商建立關係，再逐步取得更多資訊。個資外流往往是社交工程的起點，不是終點。
責任在誰身上，目前還不能下定論
台積電的措辭相當謹慎，只說資料與某雲端服務供應商系統服務中的資料相符。相符不等於該供應商被駭，也不等於台積電把責任推給對方。可能的途徑至少包括供應商系統遭入侵、存取權限設定失誤、資料同步或備份環節外流，以及人事作業委外過程中的傳輸問題。在數位鑑識結果出來前，任何單一結論都還太早。
這也是 2023 年 6 月 LockBit 事件的既視感。當時勒索集團把臺積電列上洩漏網站並要求 7,000 萬美元，事後查明受影響的主要是供應商金安國際（Kinmax）的伺服器設定資料，台積電客戶資料並未外流。供應鏈上的資安責任邊界，一直是這類事件最難切清楚的部分。
企業與員工現在該做的事
企業端
盤點哪些人事資料存放在第三方，確認雲端與外包合約中的存取權限、加密與事故通報義務，並事先準備好受影響名單與通知話術，避免事件發生後才臨時拼湊。
員工與家屬端
- 知道你的個資，不代表對方可信。來電者能說出姓名、職稱、生日，只是門檻。
- 涉及帳號、金錢、驗證碼，一律改用官方管道回撥查證。
- 家人同步提高警覺，職場緊急事故、金錢請求、個資核對這三類訊息先確認再行動。
- 工作與個人帳號使用不同密碼，重要帳號啟用多因素驗證。
CyberQ 觀察
CyberQ 認為，這起事件有兩個容易被忽略的重點。第一，官方確認的範圍比新聞標題小很多，4.6 萬筆、6.9GB、19 個欄位都還是賣家的一面之詞。
第二，6-K 的出現讓這件事從資安新聞升級為公司治理議題。跨國企業把員工個資放在第三方雲端，出了事不只要查誰被駭，還要回答誰有權限、合約怎麼寫、通報多快。這份不到 200 字的申報文件，其實已經把調查方向寫出來了。
對員工而言，最務實的態度是把它當成資料已經外流來處理。該改的密碼改，該開的多因素驗證開，該提醒的家人提醒。至於那 3 BTC 最後有沒有成交，反而不是最重要的事。
