Une faille chez Suno AI expose 55 millions de comptes après 8 mois de silence

La plateforme de génération musicale par IA Suno a subi une violation de données en novembre 2025 qui est restée secrète pendant huit mois, Have I Been Pwned ayant ajouté plus de 55 millions d'adresses e-mail uniques à sa base de données le 20 juillet 2026.haveibeenpwned+1

La faille

Le piratage a été révélé le 14 juillet lorsque 404 Media a publié un rapport d'enquête basé sur des données partagées par un pirate opérant sous le pseudonyme "ellie.191", qui a accédé aux systèmes de Suno via une compromission de la chaîne d'approvisionnement des identifiants des employés. L'attaquant aurait exploité le ver Shai-Hulud, un logiciel malveillant autoréplicable qui a ciblé l'écosystème npm à partir de septembre 2025, récoltant les identifiants des développeurs et se propageant à travers des centaines de paquets logiciels.podcastvideos+4

Selon Have I Been Pwned, les données volées comprenaient plus de 55,3 millions d'adresses e-mail uniques, des numéros de téléphone utilisés pour l'inscription et des dizaines de milliers d'enregistrements d'achats Stripe contenant des noms, des adresses physiques, des montants d'achat et des données partielles de cartes de crédit, notamment le type de carte, la date d'expiration et les quatre derniers chiffres. Suno a précisé qu'elle "n'a pas accès aux numéros de carte de crédit complets des clients dans Stripe".haveibeenpwned

Huit mois de silence

Suno n'a pas informé les utilisateurs concernés de la faille. L'entreprise a qualifié l'événement d'"incident de sécurité limité" impliquant du "code source obsolète", affirmant qu'aucune "information personnelle sensible" n'avait été compromise. La position de Suno selon laquelle les notifications n'étaient "pas justifiées au regard des lois sur la vie privée applicables" a suscité des critiques, car les lois américaines sur la notification des violations exigent généralement une divulgation lorsque des données personnelles sont exposées.podcastvideos

Troy Hunt, qui gère Have I Been Pwned, a confirmé le 19 juillet que les données de la faille de novembre 2025 étaient apparues publiquement la semaine précédente.linkedin

Conséquences plus larges

Au-delà des données clients, la faille a exposé le code source interne qui a révélé les pratiques de Suno en matière de données d'entraînement, notamment l'extraction de plus de deux millions de clips musicaux de YouTube Music, des dizaines de milliers d'heures de Deezer et Genius, ainsi que du contenu provenant de bibliothèques musicales et de flux de podcasts. Cette divulgation a renforcé les litiges en cours pour violation de droits d'auteur contre Suno par des majors du disque, dont Universal Music Group ↘ 0.08% et Sony Music.youtube+1

Le ver Shai-Hulud qui a permis cette faille avait précédemment déclenché une alerte de haute gravité de la part de l'équipe d'intervention d'urgence informatique indienne, qui avait averti que l'attaque présentait des risques pour les startups, les plateformes fintech et les applications de gouvernance électronique dépendant de logiciels basés sur npm.linkedin