Dados de jogadores de Task Bar Hero foram baixados por um terceiro não autorizado após a exploração de uma falha na ferramenta de gerenciamento de uma empresa terceirizada de servidores, informou a Nugem Studio. Segundo a desenvolvedora, estão no grupo afetado as contas que jogaram antes de 9 de novembro de 2026, às 15h59, no horário da Coreia.
Em seu aviso publicado na Steam em 12 de novembro, o estúdio afirma que as informações expostas, por si só, não permitem entrar na Steam, fazer pagamentos ou acessar e modificar dados de jogo de outros jogadores. A equipe alerta, porém, que elas podem ser usadas em tentativas de golpe por pessoas que se passam pelos responsáveis pelo jogo.
Quais dados foram expostos?
A lista divulgada pela Nugem Studio inclui o SteamID64, o identificador UUID da conta no servidor e a data e a hora do cadastro. Também abrange a data, a hora e o endereço IP do último acesso.
O modelo da placa-mãe ou o nome do computador, o tipo e a versão do sistema operacional e o status de restrição ou exclusão da conta também estão entre as informações citadas. A exposição reúne, portanto, identificadores da conta e dados sobre o dispositivo e a última conexão.
Segundo o estúdio, um terceiro explorou a vulnerabilidade na ferramenta da empresa terceirizada entre 17 de outubro e 8 de novembro de 2026. A empresa informou a Nugem Studio em 9 de novembro, no horário da Coreia, e a equipe confirmou o incidente em seguida.
Como reconhecer mensagens suspeitas
A Nugem Studio afirma que sua equipe nunca toma a iniciativa de entrar em contato com jogadores por pedidos de amizade, conversas ou ofertas de troca na Steam. Uma abordagem por um desses canais que use o nome da equipe, portanto, não segue a forma de contato descrita pelo estúdio.
A desenvolvedora recomenda não abrir links em mensagens suspeitas e não fazer login nem passar por verificações a partir de links recebidos em mensagens. Também pede que os jogadores nunca forneçam senhas, códigos de login ou informações de pagamento e mantenham o Steam Guard Mobile Authenticator ativado.
Em 12 de novembro, data do aviso, a Nugem Studio afirmou não ter recebido nenhum relato confirmado de uso indevido dos dados. Isso não descarta possíveis tentativas posteriores. Para tirar dúvidas ou denunciar uma mensagem suspeita relacionada ao incidente, o comunicado indica o suporte do estúdio.
O que foi feito após o incidente
Segundo a Nugem Studio, a empresa terceirizada corrigiu a vulnerabilidade e bloqueou o acesso do terceiro. A desenvolvedora também afirma que reforçou, junto à empresa, as permissões e configurações de segurança dos dados do servidor e reavaliou a segurança das contas de desenvolvedor com acesso aos servidores.
O estúdio relata que a empresa comunicou o incidente à PIPC e à KISA, na Coreia do Sul, e coopera com a investigação das entidades. Os dados já baixados continuam sendo motivo para atenção a mensagens que tentem imitar a equipe.
Veja também a página de Task Bar Hero.
