Παραβίαση στη Suno AI εξέθεσε 55 εκατομμύρια λογαριασμούς μετά από 8 μήνες σιωπής

Η πλατφόρμα παραγωγής μουσικής μέσω τεχνητής νοημοσύνης Suno υπέστη παραβίαση δεδομένων τον Νοέμβριο του 2025, η οποία παρέμεινε αδημοσίευτη για οκτώ μήνες, με την υπηρεσία Have I Been Pwned να προσθέτει περισσότερες από 55 εκατομμύρια μοναδικές διευθύνσεις email στη βάση δεδομένων της στις 20 Ιουλίου 2026.haveibeenpwned+1

Η παραβίαση

Η παραβίαση ήρθε στο φως στις 14 Ιουλίου, όταν το 404 Media δημοσίευσε μια ερευνητική έκθεση βασισμένη σε δεδομένα που μοιράστηκε ένας χάκερ με το ψευδώνυμο "ellie.191", ο οποίος απέκτησε πρόσβαση στα συστήματα της Suno μέσω μιας παραβίασης της εφοδιαστικής αλυσίδας στα διαπιστευτήρια των υπαλλήλων. Ο επιτιθέμενος φέρεται να εκμεταλλεύτηκε το worm Shai-Hulud, ένα αυτοαναπαραγόμενο κακόβουλο λογισμικό που στόχευε το οικοσύστημα npm από τον Σεπτέμβριο του 2025, συλλέγοντας διαπιστευτήρια προγραμματιστών και εξαπλούμενο σε εκατοντάδες πακέτα λογισμικού.podcastvideos+4

Σύμφωνα με το Have I Been Pwned, τα κλαπέντα δεδομένα περιλάμβαναν πάνω από 55,3 εκατομμύρια μοναδικές διευθύνσεις email, αριθμούς τηλεφώνου που χρησιμοποιήθηκαν για την εγγραφή και δεκάδες χιλιάδες αρχεία αγορών Stripe που περιείχαν ονόματα, φυσικές διευθύνσεις, ποσά αγορών και μερικά στοιχεία πιστωτικών καρτών, συμπεριλαμβανομένου του τύπου κάρτας, της ημερομηνίας λήξης και των τεσσάρων τελευταίων ψηφίων. Η Suno ανέφερε ότι "δεν έχει πρόσβαση στους πλήρεις αριθμούς πιστωτικών καρτών των πελατών στο Stripe".haveibeenpwned

Οκτώ μήνες σιωπής

Η Suno δεν ενημέρωσε τους επηρεαζόμενους χρήστες για την παραβίαση. Η εταιρεία χαρακτήρισε το γεγονός ως "περιορισμένο συμβάν ασφαλείας" που αφορούσε "παρωχημένο πηγαίο κώδικα", υποστηρίζοντας ότι δεν παραβιάστηκαν "ευαίσθητα προσωπικά δεδομένα". Η θέση της Suno ότι οι ειδοποιήσεις "δεν δικαιολογούνταν βάσει της ισχύουσας νομοθεσίας περί προστασίας προσωπικών δεδομένων" έχει προκαλέσει κριτική, καθώς οι συνήθεις νόμοι περί ειδοποίησης παραβιάσεων στις ΗΠΑ απαιτούν γνωστοποίηση όταν εκτίθενται προσωπικά δεδομένα.podcastvideos

Ο Troy Hunt, ο οποίος διαχειρίζεται το Have I Been Pwned, επιβεβαίωσε στις 19 Ιουλίου ότι τα δεδομένα από την παραβίαση του Νοεμβρίου 2025 είχαν εμφανιστεί δημόσια την προηγούμενη εβδομάδα.linkedin

Ευρύτερες συνέπειες

Πέρα από τα δεδομένα των πελατών, η παραβίαση εξέθεσε εσωτερικό πηγαίο κώδικα που αποκάλυψε τις πρακτικές της Suno σχετικά με τα δεδομένα εκπαίδευσης, συμπεριλαμβανομένου του scraping περισσότερων από δύο εκατομμυρίων μουσικών κλιπ από το YouTube Music, δεκάδων χιλιάδων ωρών από το Deezer και το Genius, καθώς και περιεχομένου από βιβλιοθήκες μουσικής και ροές podcast. Η αποκάλυψη προσέθεσε βάρος στις συνεχιζόμενες δικαστικές διαμάχες για παραβίαση πνευματικών δικαιωμάτων κατά της Suno από μεγάλες δισκογραφικές εταιρείες, συμπεριλαμβανομένων της Universal Music Group ↘ 1.96% και της Sony Music.youtube+1

Το worm Shai-Hulud που επέτρεψε την παραβίαση είχε προηγουμένως προκαλέσει συναγερμό υψηλής σοβαρότητας από την Ομάδα Αντιμετώπισης Έκτακτων Αναγκών Υπολογιστών της Ινδίας, η οποία προειδοποίησε ότι η επίθεση ενείχε κινδύνους για startups, πλατφόρμες fintech και εφαρμογές ηλεκτρονικής διακυβέρνησης που βασίζονται σε λογισμικό npm.linkedin