Suno AI-lekkasje eksponerte 55 millioner kontoer etter åtte måneders taushet

AI-musikkplattformen Suno ble utsatt for et databrudd i november 2025 som forble uoppdaget i åtte måneder, før Have I Been Pwned la til over 55 millioner unike e-postadresser i sin database den 20. juli 2026.haveibeenpwned+1

Bruddet

Kompromitteringen kom for en dag den 14. juli da 404 Media publiserte en undersøkende rapport basert på data delt av en hacker med kallenavnet "ellie.191", som fikk tilgang til Sunos systemer gjennom et forsyningskjedeangrep mot ansattes påloggingsinformasjon. Angriperen skal ha utnyttet Shai-Hulud-ormen, en selvreplikerende skadevare som målrettet npm-økosystemet fra september 2025, ved å høste utviklerlegitimasjon og spre seg gjennom hundrevis av programvarepakker.podcastvideos+4

Ifølge Have I Been Pwned inkluderte de stjålne dataene over 55,3 millioner unike e-postadresser, telefonnumre brukt ved registrering, og titusenvis av Stripe-kjøpsposter som inneholdt navn, fysiske adresser, kjøpsbeløp og delvis kredittkortinformasjon inkludert korttype, utløpsdato og de fire siste sifrene. Suno opplyste at de "ikke har tilgang til kundenes fulle kredittkortnumre i Stripe".haveibeenpwned

Åtte måneder med taushet

Suno varslet ikke berørte brukere om bruddet. Selskapet karakteriserte hendelsen som en "begrenset sikkerhetshendelse" som involverte "utdatert kildekode", og hevdet at ingen "sensitiv personlig informasjon" var kompromittert. Sunos holdning om at varsling "ikke var påkrevd under gjeldende personvernlovgivning" har møtt kritikk, ettersom typiske amerikanske lover om varsling ved databrudd krever offentliggjøring når personopplysninger eksponeres.podcastvideos

Troy Hunt, som driver Have I Been Pwned, bekreftet den 19. juli at data fra november 2025-bruddet hadde dukket opp offentlig uken før.linkedin

Bredere konsekvenser

Utover kundedata eksponerte bruddet intern kildekode som avslørte Sunos praksis for treningsdata, inkludert skraping av mer enn to millioner musikklipp fra YouTube Music, titusenvis av timer fra Deezer og Genius, samt innhold fra arkivmusikkbiblioteker og podcast-strømmer. Avsløringen har gitt økt tyngde til pågående søksmål om brudd på opphavsretten mot Suno fra store plateselskaper, inkludert Universal Music Group ↘ 0.08% og Sony Music.youtube+1

Shai-Hulud-ormen som muliggjorde bruddet hadde tidligere utløst et varsel med høy alvorlighetsgrad fra Indias Computer Emergency Response Team, som advarte om at angrepet utgjorde en risiko for oppstartsselskaper, fintech-plattformer og e-forvaltningsapplikasjoner som er avhengige av npm-basert programvare.linkedin