『タスクバーヒーロー』で利用者情報が流出、SteamID64やIPアドレスなど6項目

タスクバーの隅でキャラクターが勝手に戦い続ける基本プレイ無料の放置RPG『タスクバーヒーロー』（TBH: Task Bar Hero）で、プレイヤーの情報が外部に持ち出されていたことが分かった。開発・運営のNugem Studioが11月12日、Steamの公式お知らせで発表している。

流出元はゲームそのものではない。ゲームサーバーの運用に使っている外部サービスの管理ツールに脆弱性があり、第三者がそこからプレイヤー情報をダウンロードしていた。不正アクセスがあった期間は10月17日から11月8日まで。11月9日にサービス事業者から連絡を受けて、Nugem Studioが被害を確認したという流れだね。

対象は、11月9日午後3時59分より前に『タスクバーヒーロー』をプレイしたことのあるアカウント。最近遊んでいなくても、過去に一度でも起動したことがあれば含まれる。2026年5月の配信開始から短期間で大勢のプレイヤーを集めた作品なので、該当するアカウントの数はかなり多いとみられる。

流出した項目は、お知らせの中で次のように挙げられている。

公式のお知らせより（日本語訳）

• SteamプロフィールID（SteamID64）：SteamプロフィールのURLに使われる番号
• ゲームサーバーのアカウントID（UUID）と登録日時
• 最終ログイン日時と、最終ログイン時のIPアドレス
• デバイス情報：マザーボードのモデル名、またはコンピューター名
• オペレーティングシステム（OS）の種類とバージョン
• アカウントの状態（利用制限の有無、退会の有無）

パスワード、ログインコード、決済情報はこの一覧に入っていない。運営は、これらの情報だけではSteamへのログインや決済はできず、他のプレイヤーのゲームデータにアクセスしたり書き換えたりすることもできないと説明している。

それでも安心しきれないのは、組み合わせ次第で「誰が、いつ、どこから、どんなPCで遊んでいたか」がおおよそ見えてしまうからだね。とくにコンピューター名は、本名やハンドルネームをそのまま付けている人も少なくない。SteamID64からはプロフィールページに直接たどり着けるので、個別に狙いを定めた連絡に悪用されるおそれがある。

発表時点で、流出した情報が悪用された事例は確認されていない。そのうえで運営がいちばん強く注意を促しているのが、運営や本件の関係者を装った詐欺だ。運営側からSteamのフレンド申請・チャット・トレードの提案で先に連絡することは無い、とはっきり書かれている。

お知らせでは、プレイヤーにできる対策として次の点が挙げられている。

公式のお知らせより・主な項目（日本語訳）

• メッセージ内のリンクからSteamにログインしたり、認証手続きをしたりしない
• Steamガード モバイル認証を有効にしておく
• 本件に触れた不審なメッセージには返信せず、リンクも開かない
• 相手が誰であっても、パスワード・ログインコード・決済情報を伝えない

「流出の補償をします」「アカウントの確認が必要です」といった話を持ちかけてくる相手は、それだけで疑ってかかってよい。不審な連絡を受けたときや、悪用されたのではと感じたときは、Nugem Studioのサポートセンターから報告や問い合わせができる。

脆弱性は修正済み、PIPCとKISAへ届け出た

脆弱性はすでに修正され、第三者のアクセスも遮断済み。サービス事業者はゲームサーバーの管理権限とセキュリティ設定を全面的に見直したうえで強化し、韓国の個人情報保護委員会（PIPC）と韓国インターネット振興院（KISA）に届け出て、調査に協力しているという。Nugem Studioの側でも、サーバーデータへのアクセス権限やセキュリティ設定を事業者と一緒に再点検し、サーバーにアクセスできる開発者アカウントすべての保護を強めた。

損害を受けた場合や、情報が悪用された疑いがある場合については、居住する国・地域の個人情報保護に関する法令に基づき、損害賠償の請求などの権利を行使できると案内している。手続きや窓口は国によって異なるため、韓国以外に住むプレイヤーはそれぞれの国の個人情報保護機関へ相談するよう求めている。今後新しく確認された事実は、同じお知らせで追って伝えるとのことだにゃ。

10月末に入ったばかりのハロウィンイベントや、その前の新エリア「疫病地帯」の追加など、配信開始からアップデートを重ねてきた作品だ。

ゲーム本体は今も問題なく遊べる。ただ、しばらくは「タスクバーヒーロー」の名前を出して近づいてくる見知らぬアカウントの方を警戒しておく必要がある。