Brecha de datos de Hims & Hers en Zendesk de 2026

La carta de la empresa dirigida a la autoridad reguladora indica que Hims & Hers protegió su plataforma de atención al cliente de un tercero e inició una investigación para determinar el alcance del incidente tras detectar actividad sospechosa. La investigación confirmó que se había accedido a determinadas solicitudes de soporte o que estas se habían obtenido sin autorización. Esta declaración permite clasificar el suceso como una brecha efectiva de datos de clientes, y no solo como una posible vulnerabilidad en la nube.

BleepingComputer identificó Zendesk como la plataforma afectada y publicó las fechas y los límites de los datos afectados que figuraban en la notificación oficial. El reportaje también citó información de fuentes que vinculaba el ataque con una campaña más amplia, una cuenta de Okta y un actor de amenazas identificado por su nombre.

Según la empresa, los tickets de soporte afectados podían contener nombres, información de contacto y otros datos personales incluidos en la solicitud, según la persona. El resto del contenido no especificado se recoge bajo una categoría amplia de datos de tickets de soporte, en lugar de inventar tipos de datos concretos.

Por la naturaleza de los tickets de soporte, un cliente podría haber incluido texto libre o detalles adicionales al explicar un problema, pero la empresa no afirmó que se hubieran obtenido datos sobre recetas, diagnósticos, tratamientos o pagos. Las categorías de datos se limitan a lo confirmado en la notificación oficial. Este registro no permite deducir que se viera afectado un perfil completo de cliente ni un historial médico completo.

Hims & Hers afirmó expresamente que los historiales médicos y las comunicaciones con médicos no se vieron comprometidos en este incidente. La brecha se limita a determinadas solicitudes en la plataforma de atención al cliente; no afectó al sistema de historiales clínicos, a las conversaciones con profesionales sanitarios ni a todos los componentes de una cuenta de telemedicina. Esta delimitación evita incluir automáticamente datos de salud basándose únicamente en el carácter sensible de la actividad de la empresa.

En teoría, un usuario podría haber escrito detalles relacionados con su salud en una solicitud de soporte, pero la empresa no confirmó ningún campo de ese tipo. Este registro podrá ofrecer más detalles si una actualización posterior de la empresa o de la autoridad reguladora confirma campos específicos de salud.

La empresa confirmó que había enviado notificaciones y que algunos tickets contenían información personal, pero no publicó el número total de usuarios, clientes o tickets. Los informes que mencionan millones de tickets de soporte no constituyen una cifra de personas afectadas confirmada por la empresa. El volumen de tickets también puede diferir del número de personas únicas, ya que un mismo cliente puede abrir varias solicitudes.

La base total de usuarios de la empresa, sus ingresos y su volumen de recetas no se utilizan como sustitutos del alcance de la brecha. Los campos numéricos pueden actualizarse si los documentos presentados ante las autoridades estatales o una revisión forense finalizada proporcionan un total fiable de personas afectadas.

Tras detectar actividad sospechosa, Hims & Hers protegió la plataforma de atención al cliente, investigó la naturaleza y el alcance del incidente y notificó a las personas afectadas. A los destinatarios que cumplían los requisitos se les ofrecieron 12 meses de seguimiento crediticio gratuito. La notificación pública no afirma que se hubieran determinado de manera concluyente todos los detalles técnicos de la plataforma ni la identidad del atacante.

Esté atento a correos electrónicos, mensajes de texto y llamadas que no reconozca, y verifique, a través de la aplicación oficial o del sitio web conocido, los enlaces de los mensajes que se hagan pasar por comunicaciones del servicio de soporte de Hims & Hers. También puede supervisar la actividad de su cuenta y sus informes crediticios. Estas recomendaciones abordan el riesgo de phishing e ingeniería social; no significan que se haya confirmado la exposición de historiales médicos o datos financieros.

Este registro establece que personas no autorizadas accedieron a determinadas solicitudes de soporte de Hims & Hers, o las obtuvieron, en una plataforma de atención al cliente de un tercero entre el 4 de febrero y el 7 de febrero de 2026. Es posible que se vieran afectados nombres, información de contacto y otros datos personales relacionados con los tickets. Se siguen desconociendo los totales de personas y tickets, los campos presentes para cada persona y el volumen completo del contenido obtenido.

El alcance verificado se limita a los tickets de soporte al cliente; los historiales médicos y las comunicaciones con médicos no se vieron afectados. Zendesk fue identificado en un reportaje independiente, pero la carta de la empresa no confirmó la identidad del atacante, la vía de acceso a través de Okta ni la cifra del volumen de tickets.