Violação de dados da Hims & Hers no Zendesk em 2026

A carta da empresa apresentada ao órgão regulador informa que a Hims & Hers tomou medidas para proteger sua plataforma de atendimento ao cliente de terceiros e iniciou uma investigação para determinar o alcance do incidente após detectar atividade suspeita. A investigação confirmou que determinadas solicitações de suporte foram acessadas ou obtidas sem autorização. Essa declaração caracteriza o evento como uma violação efetiva de dados de clientes, e não apenas como uma possível vulnerabilidade na nuvem.

O BleepingComputer identificou o Zendesk como a plataforma afetada e publicou as datas e os limites dos dados afetados que constavam no aviso oficial. A reportagem também citou informações de fontes que relacionavam o ataque a uma campanha mais ampla, a uma conta da Okta e a um agente de ameaça citado nominalmente.

Segundo a empresa, os chamados de suporte afetados poderiam conter nomes, informações de contato e outros dados pessoais presentes na solicitação, dependendo da pessoa. Os demais conteúdos, não especificados, são descritos por uma categoria ampla de dados de chamados de suporte, sem inventar tipos de dados.

Pela natureza dos chamados de suporte, um cliente pode ter fornecido texto livre ou detalhes adicionais ao explicar um problema, mas a empresa não afirmou que prescrições, diagnósticos, informações sobre tratamentos ou dados de pagamento foram obtidos. As categorias de dados se limitam às confirmadas no aviso oficial. Este registro não presume que um perfil completo de cliente ou um histórico de saúde integral tenha sido afetado.

A Hims & Hers afirmou explicitamente que prontuários médicos e comunicações com médicos não foram comprometidos neste incidente. A violação se limita a determinadas solicitações na plataforma de atendimento ao cliente; não afetou o sistema de prontuários clínicos nem as conversas com profissionais de saúde, e não atingiu todos os componentes de uma conta de telessaúde. Essa delimitação impede a inclusão automática de dados de saúde com base apenas no contexto sensível da atividade da empresa.

Em tese, um usuário poderia ter digitado detalhes relacionados à saúde em uma solicitação de suporte, mas a empresa não confirmou a presença desse tipo de campo. Este registro poderá se tornar mais específico se uma atualização posterior da empresa ou de um órgão regulador confirmar campos específicos de dados de saúde.

A empresa confirmou o envio de notificações e a presença de informações pessoais em alguns chamados, mas não publicou um total de usuários, clientes ou chamados. Relatos que mencionam milhões de chamados de suporte não constituem uma contagem de pessoas afetadas confirmada pela empresa. O volume de chamados também pode diferir do número de pessoas distintas, pois um cliente pode abrir várias solicitações.

A base total de usuários, a receita e o volume de prescrições da empresa não são usados como substitutos para medir o alcance da violação. Os campos numéricos poderão ser atualizados se documentos apresentados a órgãos estaduais ou uma análise forense concluída divulgarem um total confiável de pessoas.

Após detectar atividade suspeita, a Hims & Hers tomou medidas para proteger a plataforma de atendimento ao cliente, investigou a natureza e o alcance do incidente e notificou as pessoas afetadas. Aos destinatários elegíveis, foram oferecidos 12 meses de monitoramento de crédito gratuito. O aviso público não afirma que todos os detalhes técnicos da plataforma ou a identidade do invasor tenham sido estabelecidos de forma conclusiva.

Você deve ficar atento a e-mails, mensagens de texto e ligações desconhecidos e verificar, pelo aplicativo oficial ou pelo site conhecido da empresa, os links de mensagens que se passam pelo suporte da Hims & Hers. Você também pode acompanhar a atividade da conta e os relatórios de crédito. Essa orientação trata dos riscos de phishing e engenharia social; não significa que a exposição de prontuários médicos ou dados financeiros tenha sido confirmada.

Este registro estabelece que pessoas não autorizadas acessaram ou obtiveram determinadas solicitações de suporte da Hims & Hers em uma plataforma de atendimento ao cliente de terceiros entre 4 de fevereiro e 7 de fevereiro de 2026. Nomes, informações de contato e outros dados pessoais relacionados aos chamados podem ter sido envolvidos. Permanecem desconhecidos os totais de pessoas e chamados, os campos presentes para cada pessoa e o volume total do conteúdo obtido.

O alcance verificado se limita aos chamados de suporte ao cliente; prontuários médicos e comunicações com médicos não foram afetados. O Zendesk foi identificado por uma reportagem independente, mas o invasor, a via de acesso pela Okta e o número de chamados em grande volume não foram confirmados na carta da empresa.