Утечка данных Hims & Hers в Zendesk в 2026 году

В письме компании регулятору говорится, что после обнаружения подозрительной активности Hims & Hers приняла меры по защите сторонней платформы обслуживания клиентов и начала расследование для определения масштаба инцидента. Расследование подтвердило, что посторонние лица без разрешения получили доступ к отдельным обращениям в службу поддержки или завладели их содержимым. Согласно этому заявлению, речь идет о состоявшейся утечке данных клиентов, а не просто о возможной уязвимости облачной системы.

BleepingComputer назвал Zendesk пострадавшей платформой и опубликовал указанные в официальном уведомлении даты и сведения о том, какие данные были затронуты. Издание также сослалось на информацию источников, связывающую атаку с более масштабной кампанией, аккаунтом Okta и названным в публикации злоумышленником.

По данным компании, затронутые обращения в службу поддержки могли содержать имена, контактные сведения и другие персональные данные, указанные в обращении. Состав данных зависел от конкретного человека. Другое неуточненное содержимое отнесено к общей категории данных из обращений в службу поддержки, без выдумывания конкретных типов данных.

Формат обращений в службу поддержки допускает, что клиент мог ввести произвольный текст или дополнительные сведения, объясняя проблему. Однако компания не заявляла, что были получены данные о рецептах, диагнозах, лечении или платежах. Перечень категорий данных ограничен тем, что подтверждено официальным уведомлением. В этой записи не делается выводов об утечке полного профиля клиента или всей его медицинской истории.

Hims & Hers прямо заявила, что медицинские записи и общение с врачами не были скомпрометированы в ходе этого инцидента. Утечка ограничена отдельными обращениями на платформе обслуживания клиентов. Она не затронула систему медицинских записей и общение с медицинскими специалистами и не охватила все компоненты телемедицинского аккаунта. Эти границы не позволяют автоматически включать сведения о здоровье в состав затронутых данных лишь потому, что компания работает в сфере, связанной с конфиденциальной медицинской информацией.

Теоретически пользователь мог указать сведения о здоровье в обращении в службу поддержки, но компания не подтвердила наличие таких данных. Запись можно будет уточнить, если в последующем сообщении компании или регулятора будут подтверждены конкретные категории медицинских данных.

Компания подтвердила отправку уведомлений и наличие персональных данных в некоторых обращениях, но не опубликовала общее число пользователей, клиентов или обращений. Сообщения о миллионах обращений в службу поддержки не являются подтвержденным компанией числом пострадавших. Количество обращений также может отличаться от числа уникальных людей, поскольку один клиент может создать несколько обращений.

Общая численность пользователей компании, ее выручка и количество выписанных рецептов не используются для оценки масштаба утечки. Числовые поля можно будет обновить, если в документах, поданных властям штатов, или по итогам завершенной компьютерно-технической экспертизы будет опубликовано достоверное общее число пострадавших.

После обнаружения подозрительной активности Hims & Hers приняла меры по защите платформы обслуживания клиентов, расследовала характер и масштаб инцидента и уведомила пострадавших. Получателям уведомления, соответствующим условиям программы, предложили 12 месяцев бесплатного мониторинга кредитной истории. В публичном уведомлении не говорится, что все технические детали платформы или личность атакующего были окончательно установлены.

Обращайте внимание на незнакомые электронные письма, SMS и звонки. Проверяйте ссылки в сообщениях, отправители которых выдают себя за службу поддержки Hims & Hers, через официальное приложение или известный вам сайт. Вы также можете отслеживать активность аккаунта и проверять кредитные отчеты. Эти рекомендации направлены на снижение риска фишинга и социальной инженерии; они не означают, что утечка медицинских записей или финансовых данных была подтверждена.

Эта запись устанавливает, что с 4 по 7 февраля 2026 года посторонние лица без разрешения получили доступ к отдельным обращениям в службу поддержки Hims & Hers на сторонней платформе обслуживания клиентов или завладели их содержимым. Среди затронутых данных могли быть имена, контактные сведения и другие персональные данные из обращений. Общее число людей и обращений, набор данных по каждому человеку и полный объем полученного содержимого остаются неизвестными.

Подтвержденный масштаб ограничивается обращениями в службу поддержки; медицинские записи и общение с врачами не были затронуты. Zendesk была названа в независимых публикациях, но сведения о злоумышленнике, пути атаки через Okta и количестве массово полученных обращений не были подтверждены в письме компании.