[태스크바 히어로] 외부 게임 서버 서비스 관리 도구 취약점으로 플레이어 SteamID·IP·기기정보 유출…게임 백엔드 플랫폼 '뒤끝' 침해 연관(추정)_2026년 11월

동시접속자 54만 명대를 기록한 스팀 방치형 게임 ‘TBH: 태스크바 히어로’(뉴젬 스튜디오)가 쓰는 외부 게임 서버 서비스 관리 도구에 보안 결함이 있었다. 제3자가 이를 악용해 2026년 10월 17일부터 11월 8일까지 플레이어 정보를 내려받았고, 이 사고로 SteamID64·마지막 접속 IP·기기·OS 정보 등이 유출됐다. 같은 시기 게임 백엔드 플랫폼 ‘뒤끝’도 AI 기반 공격으로 다수 기능이 침해됐다고 공지했다.

□  개요 

   Nugem Studio(뉴젬 스튜디오)는 2026년 11월 12일 스팀 공지로 ‘[안내] Task bar Hero 개인정보 유출 사실 안내’를 게시했다. 게임 서버 운영에 쓰는 외부 서비스에서 보안 결함이 발견돼, 일부 플레이어 계정 정보가 외부로 유출됐다는 내용이다.
    TBH: 태스크바 히어로는 5월 스팀에 출시된 국산 인디 무료 방치형 게임으로, 백그라운드에서 실행되며 아이템을 모으고 영웅을 성장시키는 방식이다. 동시접속자는 최대 54만 명대를 기록했다. 제3자는 10월 17일부터 11월 8일까지 외부 게임 서버 서비스 관리 도구의 보안 결함을 악용해 플레이어 정보를 내려받았고, 개발사는 11월 9일 해당 업체의 통보로 이를 확인했다. 대상은 11월 9일 15시 59분 이전에 게임을 플레이한 적이 있는 계정이다. 유출 정보는 SteamID64, 게임 서버 계정 번호(uuid)와 가입 일시, 마지막 접속 일시와 IP 주소, 기기 정보(메인보드 모델명 또는 컴퓨터 이름), OS 종류·버전, 계정 상태(이용 제한·탈퇴 여부)다. 이 정보만으로는 Steam 로그인이나 결제를 할 수 없고, 다른 이용자의 게임 데이터에 접근하거나 바꿀 수도 없다.
    외부 업체는 결함을 고치고 제3자 접근을 차단했으며, 개인정보보호위원회와 한국인터넷진흥원(KISA)에 신고했다. 개발사도 서버 데이터 접근 권한과 개발자 계정 보안을 전면 점검했다. 공지일까지 악용 사례는 접수되지 않았다. 게임 백엔드 플랫폼 뒤끝(Backnd)도 같은 시기에 보안 침해를 공지했다. 서비스 일부 기능의 취약점을 노린 AI 기반 공격이 여러 차례 일어났고, 11월 8일 이를 확인해 11월 9일 KISA에 신고했다는 내용이다. 이 가운데 ‘CSV 다운로드 기능 취약점으로 1개 게임의 유저 정보가 유출’된 사례가 시점·경위상 태스크바 히어로 건과 일치한다(추정). 유출된 SteamID와 접속 IP는 개발사 사칭 스팀 메시지 피싱이나 계정 탈취 시도에 악용될 우려가 있다.

 

□  사고내용 요약  

    1. 회사명 : 뉴젬 스튜디오(TBH: 태스크바 히어로) / 외부 게임 서버 서비스(뒤끝 추정)
    2. 사고유형
        - 공급망 해킹 : 외부 게임 서버 서비스 관리 도구 보안 결함 악용, 플레이어 정보 다운로드
    3. 유출규모
        - 미공개(11월 9일 15:59 이전 플레이 계정 전체가 대상)

    4. 유출항목
        - Steam 프로필 번호(SteamID64), 게임 서버 계정 번호(uuid)·가입 일시
        - 마지막 접속 일시, 마지막 접속 IP 주소
        - 기기 정보(메인보드 모델명 또는 컴퓨터 이름), OS 종류·버전
        - 계정 상태(이용 제한, 탈퇴 여부)
        ※ 비밀번호·결제정보 미포함, Steam 로그인·결제·타 유저 데이터 변조 불가

    5. 특이사항
        - 동시접속 최대 54만 명대 인기 게임의 전체 플레이어 계정이 대상
        - 게임사 자체가 아닌 외부 게임 서버 서비스(BaaS) 관리 도구 결함(공급망 사고)
        - 약 3주간(10월 17일~11월 8일) 정보 다운로드가 이어짐
        - 뒤끝, ‘AI 기반 공격’으로 커뮤니티·CSV 다운로드·GM 계정·평션 등 다수 기능 침해 공지
        - 컴퓨터 이름에 실명이 들어간 경우 신원 노출 가능성(추정)

뒤끝 침해 구분	피해 내용(뒤끝 공지 기준)
① 커뮤니티	가입 이메일, 문의 내역, 마지막 로그인 IP
② CSV 다운로드	1개 게임의 유저 정보
③ 콘솔 GM 계정 설정	69개 서브 관리자 계정 정보(로그인 ID, 이름, 닉네임, 역할, 관리 프로젝트 수, 요금 정보 열람 권한 유무), 1개 계정 정보 변경
④ 뒤끝 평션	뒤끝 서버 컨피그 정보
⑤ 외부 공개 콘솔	외부 접근 발생

※ 태스크바 히어로 건은 ‘② CSV 다운로드’와 시점·경위가 일치하는 것으로 보임(추정), 양사 모두 업체명·게임명을 직접 연결해 밝히지는 않음

□  사고대응 타임라인  

    - 2026년 10월 17일(토) ~ 11월 08일(일)
        . 제3자가 외부 게임 서버 서비스 관리 도구 결함을 악용해 TBH 플레이어 정보 다운로드
    - 2026년 11월 08일(일)
        . (참고) 뒤끝, 보안 침해 사고·개인정보 유출 정황 확인
    - 2026년 11월 09일(월)
        . 뉴젬 스튜디오, 외부 업체 통보로 유출 확인(15:59 기준 이전 플레이 계정 대상)
        . (참고) 뒤끝, KISA 침해사고 신고
    - 2026년 11월 10일(화)
        . (참고) 뒤끝, ‘보안 침해 발생 및 개인정보 유출 사실 통지와 후속 대응 안내’ 긴급 공지
    - 2026년 11월 12일(목)
        . 뉴젬 스튜디오, 스팀에 개인정보 유출 사실 안내 게시
    - 2026년 11월 13일(금)
        . 사고 사실 보도, 뒤끝 피해 고객 개별 안내 완료 예정일
    - 진행 중
        . 개인정보보호위원회·KISA 조사 협조

□  개인정보 유출 관련 홈페이지 안내  

[안내] Task bar Hero 개인정보 유출 사실 안내

안녕하세요, Task bar Hero 개발팀입니다.

Task bar Hero가 게임 서버 운영을 위해 이용하는 외부 서비스에서 보안 결함이 발견되었습니다. 이 결함으로 일부 플레이어 계정 정보가 외부로 유출된 사실을 확인하여 알려 드립니다.

해당 정보는 Steam 프로필 번호, 게임 서버 계정 번호와 가입 일시, 마지막 접속 일시와 IP주소, 기기 및 운영체제 정보, 계정의 이용제한 및 탈퇴 여부로 한정됩니다. 이 정보만으로는 Steam에 로그인하거나 결제를 할 수 없습니다. 또한 타 유저 게임 데이터에 접근 및 변조가 불가능합니다.

심려를 끼쳐 드려 진심으로 사과드립니다.

■ 무슨 일이 있었나요
2026년 10월 17일부터 11월 8일 사이에 제3자가 외부 게임 서버 서비스 관리 도구의 보안 결함을 악용해 TaskbarHero 플레이어 정보를 내려받았습니다. 당사는 2026년 11월 9일(KST) 해당 업체의 통보를 받고 이 사실을 확인했습니다.
현재 결함은 수정되었고, 제3자의 접근은 차단되었습니다.
[외부 게임 서버 서비스 관리업체 공지]

■ 어떤 정보가 포함되었나요
대상: 2026년 11월 9일 15:59 KST 이전에 TaskbarHero를 플레이한 적이 있는 계정
Steam 프로필 번호(SteamID64): Steam 프로필 주소에 쓰이는 번호입니다.
게임 서버 계정 번호(uuid)와 가입 일시
마지막 접속 일시와 마지막 접속 IP 주소
기기 정보: 메인보드 모델명 또는 컴퓨터 이름
운영체제(OS) 종류와 버전
계정 상태(이용 제한 여부, 탈퇴 여부)

■ 외부 서비스 업체의 조치
외부 서비스 업체는 확인 후 결함을 수정하고 제3자의 접근을 차단하였습니다.
외부 서비스 업체는 게임 서버의 관리 권한과 보안 설정을 전면 재점검하고 강화했습니다.
외부 서비스 업체는 개인정보보호위원회와 한국인터넷진흥원(KISA)에 신고했으며, 조사에 협조하고 있습니다.

■ 당사의 조치
외부 서비스 업체와 함께 서버 데이터의 접근 및 관리 권한과 보안 항목들을 전면 재점검하고 강화했습니다.
게임 서버에 접근하는 개발자 계정들의 보안 상태를 모두 재점검하고 강력한 보안을 적용하였습니다.
본 공지일 현재까지 유출된 정보가 악용된 것으로 확인된 사례는 접수되지 않았습니다.

■ 플레이어 여러분께 권해 드리는 사항
유출된 정보로 Steam 계정 로그인하거나 결제를 할 수는 없습니다. 다만 이 정보를 이용해 TaskbarHero 운영진을 사칭하는 사기 시도가 있을 수 있으니 아래 사항에 주의해 주세요.
TaskbarHero 운영진은 Steam 친구 요청, 채팅, 거래 제안으로 먼저 연락하지 않습니다.
메시지로 받은 링크에서 Steam에 로그인하거나 다른 어떤 인증 과정이라도 진행하지 마시고, Steam Guard 모바일 인증을 켜 두세요.
이번 일을 언급하는 의심스러운 연락에는 응답하거나 링크를 누르지 말아주세요.

위 내용을 포함하여 평소의 기본적인 보안 수칙을 준수하여 주시는 것이 사기와 사칭으로부터 정보를 보호하는 데 도움이 됩니다. 스팀을 통해 보내오는 모든 종류의 미확인된 메시지에 응답하거나 그 안의 링크를 누르지 마시기를 권해드립니다. 어떠한 요청에도 비밀번호, 로그인 코드, 결제 정보를 제공하지 마시기 바랍니다.

■ 문의 및 피해 신고
이번 일과 관련해 개인정보가 악용된 것으로 의심되는 연락을 받으셨거나 궁금한 점이 있으시면 아래로 문의해 주세요.
https://nugemstudio.zendesk.com/hc

■ 여러분의 권리
이번 일로 손해를 입으셨거나 개인정보가 악용된 것으로 의심되는 경우, 거주하시는 국가의 개인정보 보호 관련 법령에 따라 손해배상 청구 등 권리를 행사하실 수 있습니다. 권리 행사 방법과 신고 가능한 기관은 국가마다 다르므로, 거주 국가의 개인정보 감독기관에 문의하시기 바랍니다.
대한민국 거주 이용자: 개인정보 분쟁조정위원회(1833-6972 / www.kopico.go.kr), 개인정보침해 신고센터(국번 없이 118 / privacy.kisa.or.kr)
그 외 국가 거주 이용자: 거주 국가의 개인정보 감독기관

어느 기관에 어떻게 문의해야 할지 안내가 필요하시면 아래 문의처로 연락해 주세요.
https://nugemstudio.zendesk.com/hc

추가로 확인되는 내용이 있으면 이 공지를 통해 바로 알려 드리겠습니다.
게임 이용에 불편을 드려 다시 한 번 진심으로 사과드립니다.
감사합니다.

2026년 11월 12일
Nugem Studio

< (참고) 뒤끝 : 보안 침해 발생 및 개인정보 유출 사실 통지와 후속 대응 안내 > (2026.11.10 기준, 요약)
· 2026년 11월 8일 보안 침해 사고와 개인정보 유출 정황 확인
· 서비스 일부 기능의 보안 취약점을 악용한 AI 기반 공격이 다수 발생
· 피해 범위 : 커뮤니티(이메일·문의 내역·마지막 로그인 IP), CSV 다운로드(1개 게임 유저 정보), 콘솔 GM 계정 설정(69개 계정 조회, 1개 변경), 뒤끝 평션(서버 컨피그 정보), 외부 공개 콘솔(외부 접근)
· 11월 9일 KISA 신고, 피해 고객 개별 안내 11월 13일까지 완료 예정
· 뒤끝 콘솔 모든 계정 2차 인증 의무화, 비밀번호 중심 로그인 방식을 더 안전한 인증 방식으로 전환 예정
· 상세 침해 경로는 AI를 활용한 추가 공격에 쓰일 수 있어 간략히 안내함
· 문의 : help@backnd.com

 

□  대응내역  

    - (외부 게임 서버 서비스 업체) 결함 수정, 제3자 접근 차단, 관리 권한·보안 설정 전면 재점검, 개인정보보호위원회·KISA 신고
    - (뉴젬 스튜디오) 서버 데이터 접근·관리 권한 재점검, 개발자 계정 보안 강화, 스팀 공지·사칭 주의 안내
    - (뒤끝) 취약 기능 보안 보완, 커뮤니티 중지·평션 신규 배포 제한, 외부 공개 콘솔 비활성화, 콘솔 2차 인증 의무화, KISA와 원인 분석
     ※ 유출 계정 수, 외부 업체명(공식 확인), 공격 주체는 미공개

□ 재발방지대책(권고사항)   

    1. 기술적 조치
        - 게임 서버 관리 콘솔 MFA 필수화와 데이터 내보내기(CSV) 기능 권한·승인 통제
        - 대량 다운로드·비정상 API 호출 탐지와 감사 로그 상시 점검
        - 컴퓨터 이름 등 불필요한 기기 식별정보 수집 최소화

    2. 관리적 조치
        - (게임사) BaaS 업체 보안 수준 평가와 사고 통지 의무 계약 반영
        - (게임사) 플레이어 대상 운영진 사칭 스팀 메시지 피싱 주의 안내 상시화
        - AI 기반 자동화 취약점 공격에 대비한 정기 모의해킹·버그바운티 운영

□  관련기사(출처)  

• [안내] Task bar Hero 개인정보 유출 사실 안내 - Steam(Nugem Studio)
• (참고) 보안 침해 발생 및 개인정보 유출 사실 통지와 후속 대응 안내 - 뒤끝
• 스팀 방치형게임 태스크바 히어로, 개인정보 유출 발생 - 게임메카

감사합니다.