„Suno AI“ duomenų nutekėjimas atskleidė 55 milijonus paskyrų po 8 mėnesių tylos

AI muzikos generavimo platforma „Suno“ 2025 m. lapkritį patyrė duomenų nutekėjimą, apie kurį nebuvo pranešta aštuonis mėnesius, o „Have I Been Pwned“ 2026 m. liepos 20 d. į savo duomenų bazę įtraukė daugiau nei 55 milijonus unikalių el. pašto adresų.haveibeenpwned+1

Įsilaužimas

Pažeidimas išaiškėjo liepos 14 d., kai „404 Media“ paskelbė tiriamąją ataskaitą, pagrįstą duomenimis, kuriais pasidalijo įsilaužėlis, veikiantis slapyvardžiu „ellie.191“. Jis gavo prieigą prie „Suno“ sistemų per tiekimo grandinės kompromitaciją, nukreiptą į darbuotojų prisijungimo duomenis. Pranešama, kad užpuolikas išnaudojo „Shai-Hulud“ kirminą – savaime besidauginančią kenkėjišką programinę įrangą, kuri nuo 2025 m. rugsėjo mėn. taikėsi į npm ekosistemą, rinkdama kūrėjų prisijungimo duomenis ir plisdama per šimtus programinės įrangos paketų.podcastvideos+4

„Have I Been Pwned“ duomenimis, pavogti duomenys apėmė daugiau nei 55,3 mln. unikalių el. pašto adresų, registracijai naudotų telefono numerių ir dešimtis tūkstančių „Stripe“ pirkimo įrašų, kuriuose buvo vardai, fiziniai adresai, pirkimo sumos ir daliniai kredito kortelių duomenys, įskaitant kortelės tipą, galiojimo datą ir paskutinius keturis skaitmenis. „Suno“ nurodė, kad ji „neturi prieigos prie visų klientų kredito kortelių numerių „Stripe“ sistemoje“.haveibeenpwned

Aštuoni mėnesiai tylos

„Suno“ neinformavo nukentėjusių vartotojų apie įsilaužimą. Bendrovė įvykį apibūdino kaip „ribotą saugumo incidentą“, susijusį su „pasenusiu pirminiu kodu“, tvirtindama, kad jokia „jautri asmeninė informacija“ nebuvo pažeista. „Suno“ pozicija, kad pranešimai „nebuvo būtini pagal galiojančius privatumo įstatymus“, sulaukė kritikos, nes įprasti JAV pranešimų apie pažeidimus įstatymai reikalauja atskleisti informaciją, kai paviešinami asmens duomenys.podcastvideos

Troy Hunt, valdantis „Have I Been Pwned“, liepos 19 d. patvirtino, kad duomenys iš 2025 m. lapkričio mėn. įsilaužimo viešai pasirodė praėjusią savaitę.linkedin

Platesnės pasekmės

Be klientų duomenų, įsilaužimas atskleidė vidinį pirminį kodą, kuris parodė „Suno“ mokymo duomenų praktiką – įskaitant daugiau nei dviejų milijonų muzikos klipų rinkimą iš „YouTube Music“, dešimtis tūkstančių valandų iš „Deezer“ ir „Genius“, bei turinį iš akcijų muzikos bibliotekų ir tinklalaidžių kanalų. Šis atskleidimas sustiprino vykstančius autorių teisių pažeidimo ieškinius prieš „Suno“, kuriuos pateikė didžiosios įrašų kompanijos, įskaitant „Universal Music Group“ ↘ 0.08% ir „Sony Music“.youtube+1

„Shai-Hulud“ kirminas, įgalinęs įsilaužimą, anksčiau buvo sukėlęs aukšto lygio įspėjimą iš Indijos kompiuterinių avarijų reagavimo tarnybos, kuri įspėjo, kad ataka kelia riziką startuoliams, „fintech“ platformoms ir e. valdžios programoms, besiremiančioms npm pagrįsta programine įranga.linkedin