タスクバーヒーローで個人情報が漏れたと聞くと、自分のSteamのアカウントまで危ないのかが気になります。
タスクバーヒーローの個人情報漏えいで何が起きた？
ゲームのサーバーの運営に使っている外部のサービスに脆弱性があり、第三者にプレイヤーの情報をダウンロードされました。
| 日付 | 出来事 |
|---|---|
| 2026年10月17日〜11月8日 | 第三者が、外部のサービスの管理ツールの脆弱性を突いて、プレイヤーの情報をダウンロード |
| 2026年11月9日 | 開発元が、サービスの提供元から知らされて確認 |
| 2026年11月12日 | 開発元のNugem Studioが、Steamで「[Notice] Task Bar Hero – Personal Data Breach Notification」を公開 |
表は2026年11月13日に確かめた内容です。脆弱性はすでに直され、第三者のアクセスも遮断されています。
お知らせは英語で、Steamコミュニティのタスクバーヒーローのお知らせの一覧（https://steamcommunity.com/app/3678970/announcements ）にあります。新しく分かったことは、このお知らせに追記されます。一覧の見方はタスクバーヒーローの429エラーとサーバー障害の確認方法｜待機列の時間でも紹介しています。
自分のアカウントは対象？
2026年11月9日 15:59（日本時間・韓国時間とも同じ）より前に、一度でもタスクバーヒーローを遊んだアカウントが対象です。
この日時より後に初めて遊んだアカウントは対象に入りません。対象のアカウントなら、下の「今やること」を進めてください。
漏れた項目は6つ
漏れた情報は、次の6つに限られます。
| 漏れた項目 | 中身 |
|---|---|
| SteamのプロフィールのID | SteamID64。SteamのプロフィールのURLに使われる番号 |
| ゲームサーバーのアカウントID | UUIDと、登録した日時 |
| 最後のログイン | 日時と、そのときのIPアドレス |
| 端末の情報 | マザーボードの型番か、コンピューター名 |
| OS | 種類とバージョン |
| アカウントの状態 | 制限・削除されているかどうか |
パスワード、メールアドレス、支払いの情報は、この6つに入っていません。
Steamのアカウントは乗っ取られる？
漏れた情報だけでは、Steamへのログインも支払いもできません。ほかのプレイヤーのゲームデータをのぞいたり、書き換えたりすることにも使えません。
ただし、タスクバーヒーローの運営になりすました詐欺に使われるおそれがあります。お知らせを出した11月12日の時点で、悪用の確かな報告は開発元に届いていません。
今やること
開発元がプレイヤーに求めているのは、次の4つです。
- Steamガードモバイル認証をオンにしておく
- メッセージで届いたリンクから、Steamへのログインや確認の手続きをしない
- この件に触れた不審なメッセージには返信せず、リンクも開かない
- パスワード、ログインコード、支払いの情報は、誰に聞かれても教えない
Steamガードモバイル認証をオンにする手順
Steamガードモバイル認証は、Steamモバイルアプリの機能です。ログインのたびに、アプリが作るコードか、アプリでの承認が必要になります。コードは30秒ごとに変わり、1回しか使えません。
- Steamモバイルアプリを、iOSならApp Store、AndroidならGoogle Playから入れる（入手先の一覧は https://store.steampowered.com/mobile ）。
- アプリにSteamのアカウントでサインインし、「Steamガード」タブで「認証機器を追加」を選ぶ。
- SMSを受け取れる携帯電話の番号を入れる（国コードはドロップダウンで選ぶ）。
- SMSで届いたコードを入れる。
- 表示されたリカバリーコードを紙に書き取り、安全な場所にしまう。
リカバリーコードは、スマートフォンをなくしたときに自分でアカウントを取り戻すために使います。SMSが届かないときは、画面のリンクから送り直せます。電話番号が無いときは、「電話番号へアクセスできません」のリンクから認証機器を追加できます。
設定のあとは、PCでSteamにサインインするとき、次のどれかで確かめます。
- アプリでサインイン画面のQRコードを読み取る
- アカウント名とパスワードを入れ、アプリに届く通知で承認する
- アカウント名とパスワードを入れ、アプリの「Steamガードコードを表示」で出たコードを入れる
モバイル認証を足す前と、足してから7日間に作ったSteamのトレードとマーケットの出品は、15日間ホールドされます。7日を過ぎてから作ったものはホールドされません。
モバイル認証でSteamにログインできなくなったときは、Steamのヘルプサイト（https://help.steampowered.com ）からアカウントを復旧します。
運営を名乗るメッセージの見分け方
タスクバーヒーローの運営は、Steamのフレンド申請、チャット、トレードのオファーで先に連絡してくることはありません。この方法で運営を名乗る相手が来たら、なりすましです。
| 届いた連絡 | 見分け方 | すること |
|---|---|---|
| パスワードや認証コードを聞かれる | Steamサポート（Valveの社員）は尋ねない | 誰にも教えない |
| リンクからSteamへのサインインや確認を求められる | ユーザー名・パスワード・認証コードを入れてよいのは、Valveが運営するサイトだけ | リンクから入力しない |
| プログラムを入れるよう勧められる | メールやチャットで勧められるものは、ほぼ確実に詐欺かマルウェア | ダウンロードも実行もしない |
SMSで届いたリカバリーコードや削除コードも、誰にも教えてはいけません。
問い合わせ先と、被害が疑われるとき
この件に関わりそうなメッセージが届いたときや、聞きたいことがあるときは、開発元のサポートのページから連絡します。URLは https://nugemstudio.zendesk.com/hc です。
被害を受けた、または情報が悪用されたと思うときは、住んでいる国のデータ保護の機関に連絡します。住んでいる国の法律にもとづいて、損害賠償の請求を含む権利を使えます。どこに連絡すればよいか分からないときも、同じサポートのページで案内を受けられます。
開発元とサービスの提供元の対応
サービスの提供元と開発元は、それぞれ次の対応をとりました。
- 提供元は、ゲームサーバーの管理の権限とセキュリティの設定を、すべて点検し直して強化した
- 提供元は、韓国の個人情報保護委員会（PIPC）と韓国インターネット振興院（KISA）に届け出て、調査に協力している
- 開発元は、提供元とともにサーバーのデータへのアクセスの権限を点検し直し、ゲームサーバーに入れる開発者のアカウントの守りも強めた
更新情報
- 確認日: 2026-11-13（2026年11月12日のお知らせの内容）