La sicurezza informatica di un'azienda non dipende più soltanto dalla capacità di proteggere i propri server. A dimostrarlo è il caso di Taiwan Semiconductor Manufacturing Company (TSMC), il più importante produttore mondiale di semiconduttori avanzati, che nel novembre 2026 ha confermato una violazione riguardante informazioni personali di dipendenti ed ex dipendenti. L'aspetto più significativo della vicenda è che, secondo le verifiche preliminari, i sistemi interni dell'azienda non sarebbero stati compromessi. I dati sarebbero invece stati esposti attraverso un fornitore esterno di servizi cloud. Un episodio che mette in evidenza una delle principali vulnerabilità dell'economia digitale: anche le organizzazioni dotate di infrastrutture tecnologiche avanzate possono subire conseguenze rilevanti a causa delle debolezze dei soggetti ai quali affidano le proprie informazioni.
COSA È SUCCESSO AL COLOSSO TAIWANESE DEI SEMICONDUTTORI
Il 12 novembre 2026 TSMC ha comunicato alla Securities and Exchange Commission statunitense di aver individuato la pubblicazione non autorizzata di informazioni personali riconducibili al proprio personale. Secondo quanto dichiarato dalla società, i dati corrisponderebbero a informazioni conservate presso un provider cloud esterno, la cui identità non è stata resa pubblica. L'azienda ha precisato che le indagini preliminari non hanno evidenziato compromissioni dei sistemi informatici interni e ha avviato verifiche con il fornitore coinvolto, le autorità competenti e specialisti indipendenti di cybersecurity.
La notizia ha attirato particolare attenzione per il ruolo strategico ricoperto da TSMC nell'industria tecnologica internazionale. L'azienda taiwanese produce semiconduttori destinati a imprese come Apple, NVIDIA e AMD, contribuendo allo sviluppo di smartphone, data center e infrastrutture per l'intelligenza artificiale. Un'eventuale compromissione dei sistemi produttivi potrebbe quindi avere conseguenze ben oltre i confini nazionali. In questo caso, tuttavia, non risultano elementi che dimostrino un coinvolgimento delle attività industriali o dei segreti tecnologici dell'azienda.
Secondo le ricostruzioni giornalistiche, un soggetto attivo su forum frequentati da criminali informatici avrebbe messo in vendita circa 6,9 gigabyte di dati, sostenendo che riguardassero approssimativamente 46.000 dipendenti ed ex dipendenti. La richiesta economica sarebbe stata pari a tre bitcoin. Tra le informazioni presumibilmente disponibili figurerebbero dati identificativi, indirizzi, recapiti e coordinate bancarie. È necessario distinguere queste rivendicazioni dalla comunicazione ufficiale di TSMC: il numero effettivo delle persone coinvolte e l'estensione completa della violazione non risultano ancora definitivamente accertati.
L'esposizione di informazioni personali può comunque produrre conseguenze significative. Dati anagrafici, contatti e informazioni bancarie possono essere sfruttati per tentativi di phishing, frodi e impersonificazione. Nel contesto di un'impresa tecnologica strategica, tali informazioni potrebbero inoltre facilitare attività di ingegneria sociale rivolte a personale con accesso a sistemi sensibili. Non vi sono prove pubbliche che queste attività siano già state realizzate in conseguenza dell'incidente, ma il rischio rappresenta una delle principali criticità da considerare nella gestione della violazione.
IL CLOUD E LA VULNERABILITÀ DELLA CATENA DI FORNITURA DIGITALE
L'elemento centrale della vicenda riguarda il rapporto tra l'azienda e il fornitore esterno. Negli ultimi anni le imprese hanno progressivamente trasferito verso piattaforme cloud una parte crescente delle proprie attività, dalla gestione documentale alle risorse umane, fino ai sistemi amministrativi e alle applicazioni aziendali. Questo modello permette di ridurre i costi infrastrutturali, migliorare la scalabilità e utilizzare servizi tecnologici specializzati. Allo stesso tempo, però, introduce nuove dipendenze che devono essere considerate nella gestione del rischio informatico.
La protezione dei dati non dipende più esclusivamente dalle misure adottate dall'organizzazione che li raccoglie, ma anche dalle procedure e dalle infrastrutture utilizzate dai soggetti esterni. Un fornitore può diventare il punto di ingresso per un attacco attraverso credenziali compromesse, configurazioni errate, vulnerabilità software o controlli insufficienti sugli accessi. Nel caso TSMC, le informazioni disponibili non permettono ancora di stabilire quale meccanismo abbia consentito l'esposizione dei dati. Sarebbe quindi improprio attribuire la responsabilità a una specifica vulnerabilità tecnica.
Il problema, tuttavia, è più ampio del singolo incidente. Il rapporto NIS Investments 2025 dell'Agenzia dell'Unione europea per la cybersicurezza (ENISA) evidenzia come la sicurezza della supply chain continui a rappresentare una preoccupazione significativa per le organizzazioni europee. Nonostante la crescente diffusione di controlli sui fornitori, l'esternalizzazione dei servizi rende complesso verificare tutte le infrastrutture coinvolte nel trattamento delle informazioni.
Questo scenario dimostra che il cloud non è necessariamente meno sicuro rispetto ai sistemi interni. I principali provider dispongono spesso di competenze e strumenti avanzati per la protezione delle infrastrutture. La criticità nasce piuttosto dalla distribuzione delle responsabilità e dalla difficoltà di mantenere un controllo effettivo sui dati durante l'intero ciclo di vita del trattamento. Un'organizzazione può adottare elevati standard di sicurezza e rimanere esposta se non verifica adeguatamente le garanzie offerte dai propri partner tecnologici.
IL PRECEDENTE DEL 2023 E LE CONSEGUENZE ECONOMICHE DEGLI ATTACCHI
Per TSMC non si tratta del primo episodio che coinvolge un soggetto esterno. Nel giugno 2023 il gruppo ransomware LockBit aveva rivendicato un attacco informatico collegato all'azienda taiwanese, chiedendo un riscatto di 70 milioni di dollari. Le successive ricostruzioni avevano individuato il coinvolgimento di Kinmax Technology, un fornitore di servizi informatici che collaborava con TSMC nella configurazione di alcune infrastrutture tecnologiche.
In quell'occasione erano state compromesse informazioni relative alla predisposizione iniziale di sistemi informatici. TSMC aveva dichiarato che l'incidente non aveva interessato le attività produttive né i dati dei clienti, annunciando l'interruzione dello scambio di informazioni con il fornitore coinvolto. Il caso aveva già evidenziato come un attacco diretto a un partner tecnologico potesse produrre conseguenze reputazionali e operative per un'impresa di dimensioni globali.
Gli episodi del 2023 e del 2026 non possono essere considerati manifestazioni della stessa vulnerabilità, poiché riguardano fornitori e categorie di informazioni differenti. Presentano però un elemento comune: l'esposizione indiretta attraverso organizzazioni esterne. Questo aspetto assume particolare rilevanza economica perché le conseguenze di un incidente non si esauriscono nella possibile sottrazione dei dati.
Le imprese devono sostenere costi per le indagini tecniche, la gestione dell'emergenza, l'eventuale comunicazione agli interessati e la revisione delle misure di sicurezza. Possono inoltre verificarsi controversie contrattuali, danni reputazionali e interruzioni dei rapporti commerciali. Nel caso TSMC del novembre 2026 non è disponibile una stima ufficiale delle perdite economiche, ma la vicenda conferma l'importanza di valutare il rischio informatico anche nelle decisioni relative alla selezione dei fornitori.
CHI RISPONDE DELLA VIOLAZIONE QUANDO I DATI SONO AFFIDATI A TERZI?
La vicenda solleva una questione giuridica particolarmente rilevante: quando un'impresa affida dati personali a un fornitore cloud, chi risponde di un'eventuale violazione? La risposta dipende dalla normativa applicabile, dalla natura del rapporto contrattuale e dalle circostanze concrete dell'incidente.
TSMC è un'impresa taiwanese e la valutazione delle responsabilità deve partire dalla disciplina effettivamente applicabile al trattamento. Non è quindi possibile presumere automaticamente l'applicazione del Regolamento generale sulla protezione dei dati europeo. Il GDPR può diventare rilevante quando ricorrono i presupposti territoriali previsti dall'articolo 3, ad esempio in relazione a trattamenti effettuati nel contesto delle attività di uno stabilimento nell'Unione europea.
Il modello europeo offre comunque un riferimento importante per comprendere la distribuzione degli obblighi. L'articolo 28 del GDPR stabilisce che il titolare del trattamento possa ricorrere soltanto a responsabili che presentino garanzie sufficienti per adottare misure tecniche e organizzative adeguate. Il rapporto deve essere disciplinato da un contratto che definisca, tra gli altri aspetti, le istruzioni sul trattamento, gli obblighi di riservatezza, le misure di sicurezza e le condizioni per il coinvolgimento di ulteriori fornitori.
L'articolo 32 richiede inoltre che titolare e responsabile adottino misure di sicurezza proporzionate ai rischi, considerando lo stato dell'arte, i costi di attuazione e le caratteristiche del trattamento. Gli articoli 33 e 34 disciplinano invece la gestione delle violazioni dei dati personali, prevedendo, quando ne ricorrono i presupposti, la notifica all'autorità di controllo e la comunicazione agli interessati. La notifica all'autorità deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione, salvo che sia improbabile che questa presenti un rischio per i diritti e le libertà delle persone fisiche.
Il principio fondamentale è che l'esternalizzazione del trattamento non determina automaticamente il trasferimento di tutte le responsabilità al fornitore. Il titolare conserva obblighi di selezione e controllo, mentre il responsabile deve rispettare gli obblighi normativi e contrattuali di propria competenza. Questo non significa, tuttavia, che ogni violazione subita da un provider comporti necessariamente una responsabilità dell'impresa cliente. Occorre verificare l'adeguatezza delle misure adottate, l'eventuale inosservanza degli obblighi e il rapporto tra tali carenze e le conseguenze dell'incidente.
DALLA NIS2 AL NIST: LA SICUREZZA DEI FORNITORI DIVENTA UNA PRIORITÀ
La crescente esposizione delle imprese ai rischi provenienti dalla filiera tecnologica ha spinto le istituzioni internazionali a rafforzare gli strumenti di governance della cybersecurity. Nell'Unione europea, la direttiva NIS2 attribuisce particolare importanza alla sicurezza della catena di approvvigionamento, inserendola tra le misure di gestione del rischio che devono essere adottate dai soggetti rientranti nel suo ambito di applicazione.
L'articolo 21 richiede di considerare anche le vulnerabilità specifiche dei fornitori diretti e dei prestatori di servizi, nonché la qualità delle loro pratiche di sicurezza. La disciplina evidenzia un cambiamento di prospettiva: la cybersecurity non può essere limitata alla protezione dei sistemi aziendali, ma deve comprendere i rapporti con i soggetti esterni dai quali dipendono le attività dell'organizzazione. L'applicabilità concreta degli obblighi NIS2 a una determinata impresa resta comunque subordinata ai criteri previsti dalla normativa europea e nazionale.
Un approccio analogo emerge negli Stati Uniti attraverso il Cybersecurity Framework 2.0 del National Institute of Standards and Technology (NIST). Il framework dedica particolare attenzione alla governance del rischio e alla gestione della sicurezza nella supply chain, incoraggiando le organizzazioni a integrare la valutazione dei fornitori nei processi decisionali e nelle attività di controllo.
Dal punto di vista operativo, questo significa che la scelta di un provider cloud non dovrebbe dipendere soltanto dal costo del servizio o dalle prestazioni offerte. Diventa necessario verificare le procedure di gestione degli incidenti, i sistemi di controllo degli accessi, le politiche di conservazione delle informazioni e le condizioni di utilizzo di eventuali subfornitori.
Anche i contratti assumono un ruolo centrale. Clausole relative agli obblighi di comunicazione degli incidenti, alla cooperazione durante le indagini, ai diritti di audit e alla restituzione o cancellazione dei dati possono contribuire a rendere più efficace il controllo del rischio. Tuttavia, la presenza di garanzie contrattuali non è sufficiente se queste non vengono accompagnate da verifiche periodiche e da una concreta capacità di intervento.
LA NUOVA FRONTIERA DELLA CYBERSECURITY È IL CONTROLLO DELLE DIPENDENZE DIGITALI
Il caso TSMC evidenzia una trasformazione strutturale della sicurezza informatica. Le grandi organizzazioni operano attraverso ecosistemi tecnologici sempre più complessi, nei quali servizi cloud, piattaforme software e fornitori specializzati contribuiscono quotidianamente alla gestione delle informazioni. Questa interconnessione favorisce l'innovazione e l'efficienza, ma rende anche più difficile individuare tutti i possibili punti di vulnerabilità.
Una delle principali criticità riguarda la visibilità sulle infrastrutture esterne. Un'impresa può conoscere il proprio fornitore diretto senza avere piena consapevolezza dei subfornitori e dei sistemi utilizzati per erogare il servizio. In caso di incidente, questa frammentazione può rallentare l'individuazione delle cause, la ricostruzione degli accessi e la valutazione dei dati effettivamente coinvolti.
Per questo motivo, la gestione della cybersecurity richiede un coordinamento sempre più stretto tra competenze tecniche, giuridiche e organizzative. La cifratura, l'autenticazione multifattore e il monitoraggio degli accessi rappresentano misure essenziali, ma devono essere integrate con procedure di verifica, responsabilità chiaramente definite e piani di risposta agli incidenti.
La vicenda assume inoltre una dimensione sociale spesso sottovalutata. Quando vengono esposti dati relativi ai dipendenti, le conseguenze non riguardano soltanto l'impresa e la sua reputazione. Coinvolgono persone che possono subire tentativi di frode, utilizzi impropri delle proprie informazioni o altre forme di abuso. La protezione del personale diventa quindi parte integrante della responsabilità aziendale, indipendentemente dal fatto che la violazione sia avvenuta all'interno dell'organizzazione o presso un soggetto esterno.
Le analisi di ENISA e le indicazioni del NIST mostrano come la sicurezza della supply chain sia destinata a mantenere un ruolo centrale nelle strategie di gestione del rischio. L'obiettivo non è eliminare l'utilizzo di fornitori esterni, soluzione incompatibile con il funzionamento dell'economia digitale contemporanea, ma sviluppare strumenti capaci di rendere queste dipendenze più trasparenti e controllabili.
Il caso TSMC dimostra, in definitiva, che un'impresa può proteggere efficacemente le proprie infrastrutture e rimanere comunque vulnerabile attraverso i rapporti con i propri partner tecnologici. La sicurezza non coincide più soltanto con la difesa di un perimetro informatico, ma con la capacità di governare l'intero percorso delle informazioni. In un'economia nella quale i dati attraversano continuamente organizzazioni, piattaforme e confini nazionali, la fiducia digitale dipenderà sempre più dalla capacità delle imprese di garantire protezione anche oltre i propri sistemi.
FONTI E RIFERIMENTI
· TSMC, comunicazione ufficiale alla SEC, Form 6-K, 12 novembre 2026: https://www.sec.gov/Archives/edgar/data/1046179/000104617926000800/a20261112statementregardin.htm
· The Record, TSMC confirms employee data breach tied to cloud service provider, 13 novembre 2026: https://therecord.media/tsmc-confirms-employee-data-breach-cloud-provider
· Cybernews, approfondimento sulla violazione dei dati dei dipendenti TSMC: https://cybernews.com/security/tsmc-chip-giant-employee-data-breach/
· TechCrunch, TSMC confirms data breach after LockBit cyberattack on third-party supplier, 30 giugno 2023: https://techcrunch.com/2023/06/30/tsmc-confirms-data-breach-after-lockbit-cyberattack-on-third-party-supplier/
· ENISA, Threat Landscape 2025: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025
· ENISA, NIS Investments 2025: https://www.enisa.europa.eu/sites/default/files/2025-12/NIS%20Investments%202025%20-%20Main%20report.pdf
· NIST, Cybersecurity Framework 2.0 – Supply Chain Risk Management, SP 1305: https://www.nist.gov/publications/nist-cybersecurity-framework-20-quick-start-guide-cybersecurity-supply-chain-risk
· NIST, Cybersecurity Supply Chain Risk Management Practices, SP 800-161 Rev. 1: https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final
· Regolamento (UE) 2016/679, GDPR, articoli 3, 28, 32, 33 e 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
· Direttiva (UE) 2022/2555, NIS2, articolo 21: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
A cura degli studenti della Facoltà di Giurisprudenza e Ingegneria Informatica
