Violation de données de Hims & Hers sur Zendesk en 2026

Dans sa lettre adressée aux autorités, Hims & Hers indique avoir sécurisé sa plateforme tierce de service client et lancé une enquête pour déterminer l’étendue de l’incident après avoir détecté une activité suspecte. L’enquête a confirmé que certaines demandes d’assistance avaient été consultées ou récupérées sans autorisation. Cette déclaration permet de qualifier l’événement de violation effective de données clients, et non de simple vulnérabilité potentielle dans le cloud.

BleepingComputer a identifié Zendesk comme la plateforme touchée et a publié les dates ainsi que le périmètre des données précisés dans l’avis officiel. L’article citait également des informations provenant de sources qui reliaient l’attaque à une campagne plus large, à un compte Okta et à un acteur malveillant nommément désigné.

Selon l’entreprise, les tickets d’assistance concernés pouvaient contenir des noms, des coordonnées et d’autres données personnelles incluses dans la demande, selon la personne. Les autres contenus non précisés sont décrits au moyen d’une catégorie générale liée aux tickets d’assistance, sans inventer de types de données.

La nature des tickets d’assistance implique qu’un client a pu saisir du texte libre ou fournir des précisions supplémentaires pour expliquer un problème, mais l’entreprise n’a pas indiqué que des ordonnances, des diagnostics, des données relatives aux traitements ou des données de paiement avaient été récupérés. Les catégories de données se limitent à celles confirmées par l’avis officiel. Cette fiche ne déduit pas qu’un profil client complet ou l’intégralité d’un historique médical a été touché.

Hims & Hers a explicitement déclaré que les dossiers médicaux et les échanges avec les médecins n’avaient pas été compromis lors de cet incident. La violation se limite à certaines demandes sur la plateforme de service client; elle n’a touché ni le système de dossiers médicaux, ni les conversations avec les professionnels de santé, ni l’ensemble des composantes d’un compte de télésanté. Cette délimitation évite d’ajouter automatiquement des données de santé au seul motif que l’entreprise exerce une activité sensible.

Un utilisateur aurait théoriquement pu saisir des informations relatives à sa santé dans une demande d’assistance, mais l’entreprise n’a pas confirmé la présence d’un tel champ de données. Cette fiche pourra être précisée si une mise à jour ultérieure de l’entreprise ou d’une autorité confirme la présence de champs de données de santé particuliers.

L’entreprise a confirmé avoir envoyé des notifications et constaté la présence d’informations personnelles dans certains tickets, mais elle n’a publié aucun nombre total d’utilisateurs, de clients ou de tickets. Les articles évoquant des millions de tickets d’assistance ne constituent pas un décompte des personnes touchées confirmé par l’entreprise. Le volume de tickets peut également différer du nombre de personnes distinctes, puisqu’un même client peut ouvrir plusieurs demandes.

Le nombre total d’utilisateurs de l’entreprise, son chiffre d’affaires et son volume d’ordonnances ne sont pas utilisés pour estimer l’étendue de la violation. Les champs numériques pourront être mis à jour si des documents déposés auprès des autorités des États ou une analyse forensique achevée fournissent un total fiable de personnes touchées.

Après avoir détecté une activité suspecte, Hims & Hers a sécurisé la plateforme de service client, enquêté sur la nature et l’étendue de l’incident, et informé les personnes concernées. Les destinataires éligibles se sont vu proposer 12 mois de surveillance gratuite de leur dossier de crédit. L’avis public n’indique pas que l’ensemble des détails techniques de la plateforme ou l’identité de l’attaquant ont été établis de manière concluante.

Il est recommandé aux utilisateurs de rester attentifs aux e-mails, SMS et appels qu’ils ne reconnaissent pas, et de vérifier, à l’aide de l’application officielle ou du site web qu’ils connaissent, les liens contenus dans les messages se faisant passer pour l’assistance Hims & Hers. Ils peuvent surveiller l’activité de leur compte et leurs rapports de crédit. Ces conseils visent les risques d’hameçonnage et d’ingénierie sociale; ils ne signifient pas que l’exposition de dossiers médicaux ou de données financières a été confirmée.

Cette fiche établit que des personnes non autorisées ont consulté ou récupéré certaines demandes d’assistance de Hims & Hers sur une plateforme tierce de service client entre le 4 et le 7 février 2026. Des noms, des coordonnées et d’autres données personnelles liées aux tickets ont pu être concernés. Le nombre total de personnes et de tickets, les champs de données présents pour chaque personne et le volume total de contenu récupéré restent inconnus.

Le périmètre vérifié se limite aux tickets d’assistance client; les dossiers médicaux et les échanges avec les médecins n’ont pas été touchés. Zendesk a été identifié par un média indépendant, mais l’identité de l’attaquant, le vecteur d’accès via Okta et le chiffre avancé concernant le volume massif de tickets n’ont pas été confirmés dans la lettre de l’entreprise.