Gagnabrot hjá Suno AI afhjúpaði 55 milljónir reikninga eftir 8 mánaða þögn

AI tónlistargervigreindarpallurinn Suno varð fyrir gagnabroti í nóvember 2025 sem var haldið leyndu í átta mánuði, en Have I Been Pwned bætti yfir 55 milljónum einstakra netfanga við gagnagrunn sinn þann 20. júlí 2026.haveibeenpwned+1

Gagnabrotið

Brotið komst í hámæli þann 14. júlí þegar 404 Media birti rannsóknarskýrslu byggða á gögnum frá tölvuþrjóti sem gengur undir nafninu „ellie.191“, en hann fékk aðgang að kerfum Suno í gegnum aðfangakeðjuárás á starfsmannaaðgang. Árásarmaðurinn nýtti sér Shai-Hulud orminn, sjálfdreifandi spilliforrit sem beindist að npm vistkerfinu frá og með september 2025, safnaði forritaraskilríkjum og dreifðist um hundruð hugbúnaðarpakka.podcastvideos+4

Samkvæmt Have I Been Pwned innihéldu stolnu gögnin yfir 55,3 milljónir einstakra netfanga, símanúmer notuð við skráningu og tugþúsundir Stripe-kaupfærslna sem innihéldu nöfn, heimilisföng, kaupupphæðir og hluta af kreditkortaupplýsingum, þar á meðal kortategund, gildistíma og síðustu fjóra tölustafi. Suno sagði að fyrirtækið „hafi ekki aðgang að fullum kreditkortanúmerum viðskiptavina í Stripe“.haveibeenpwned

Átta mánaða þögn

Suno tilkynnti ekki viðkomandi notendum um brotið. Fyrirtækið lýsti atburðinum sem „takmörkuðu öryggisatviki“ sem tengdist „úreltum frumkóða“ og fullyrti að engar „viðkvæmar persónuupplýsingar“ hefðu farið úrskeiðis. Afstaða Suno um að tilkynningar væru „ekki nauðsynlegar samkvæmt gildandi persónuverndarlögum“ hefur sætt gagnrýni, þar sem venjuleg bandarísk lög um tilkynningarskyldu krefjast upplýsingagjafar þegar persónuupplýsingar verða fyrir barðinu á brotum.podcastvideos

Troy Hunt, sem rekur Have I Been Pwned, staðfesti þann 19. júlí að gögn frá gagnabrotinu í nóvember 2025 hefðu birst opinberlega vikuna áður.linkedin

Víðtækari afleiðingar

Fyrir utan viðskiptavinagögn afhjúpaði brotið innri frumkóða sem leiddi í ljós þjálfunargagnavenjur Suno, þar á meðal skröpun á yfir tveimur milljónum tónlistarklippa af YouTube Music, tugþúsundum klukkustunda af Deezer og Genius, og efni úr tónlistarsöfnum og hlaðvarpsveitum. Uppljóstrunin hefur aukið þunga í höfundarréttarmálum gegn Suno af hálfu stórra hljómplötufyrirtækja, þar á meðal Universal Music Group ↘ 0.08% og Sony Music.youtube+1

Shai-Hulud ormurinn sem gerði brotið mögulegt hafði áður valdið viðvörun af háu stigi frá tölvuöryggisviðbragðsteymi Indlands, sem varaði við því að árásin ógnaði sprotafyrirtækjum, fintech-vettvöngum og rafrænum stjórnsýsluforritum sem treysta á npm-undirstaða hugbúnað.linkedin