Únik dat u Suno AI odhalil 55 milionů účtů po 8 měsících mlčení

Platforma pro generování hudby pomocí AI, Suno, utrpěla v listopadu 2025 únik dat, který zůstal osm měsíců nezveřejněn. Služba Have I Been Pwned přidala 20. července 2026 do své databáze více než 55 milionů unikátních e-mailových adres.haveibeenpwned+1

Únik dat

Kompromitace vyšla najevo 14. července, kdy 404 Media zveřejnila investigativní zprávu založenou na datech sdílených hackerem vystupujícím pod přezdívkou „ellie.191“. Ten získal přístup k systémům Suno prostřednictvím kompromitace dodavatelského řetězce a přihlašovacích údajů zaměstnanců. Útočník údajně zneužil červa Shai-Hulud, což je samoreplikující se malware, který od září 2025 cílil na ekosystém npm, kradl přihlašovací údaje vývojářů a šířil se napříč stovkami softwarových balíčků.podcastvideos+4

Podle Have I Been Pwned obsahovala ukradená data více než 55,3 milionu unikátních e-mailových adres, telefonní čísla použitá při registraci a desítky tisíc záznamů o nákupech přes Stripe, které obsahovaly jména, fyzické adresy, částky nákupů a částečné údaje o kreditních kartách, včetně typu karty, data expirace a posledních čtyř číslic. Suno uvedlo, že „nemá přístup k úplným číslům kreditních karet zákazníků v systému Stripe“.haveibeenpwned

Osm měsíců mlčení

Suno o úniku informované uživatele neuvědomilo. Společnost událost charakterizovala jako „omezený bezpečnostní incident“ zahrnující „zastaralý zdrojový kód“ a tvrdila, že žádné „citlivé osobní údaje“ nebyly kompromitovány. Postoj společnosti Suno, že oznámení „nebylo podle platných zákonů o ochraně soukromí vyžadováno“, vyvolal kritiku, protože běžné americké zákony o oznamování úniků vyžadují zveřejnění, pokud jsou osobní údaje vystaveny riziku.podcastvideos

Troy Hunt, který provozuje Have I Been Pwned, 19. července potvrdil, že data z listopadového útoku z roku 2025 se veřejně objevila již předchozí týden.linkedin

Širší dopady

Kromě údajů o zákaznících únik odhalil interní zdrojový kód, který odhalil praktiky Suno při trénování dat – včetně stahování více než dvou milionů hudebních klipů z YouTube Music, desítek tisíc hodin z Deezeru a Geniusu a obsahu ze skladových hudebních knihoven a podcastových kanálů. Toto odhalení dodalo váhu probíhajícím soudním sporům o porušení autorských práv proti Suno ze strany velkých vydavatelství, včetně Universal Music Group ↘ 0.08% a Sony Music.youtube+1

Červ Shai-Hulud, který únik umožnil, již dříve vyvolal varování vysokého stupně od indického týmu pro reakci na počítačové hrozby (CERT-In), který varoval, že útok představuje riziko pro startupy, fintech platformy a aplikace e-governmentu spoléhající na software založený na npm.linkedin