Suno AI-läcka exponerade 55 miljoner konton efter åtta månaders tystnad

AI-musikplattformen Suno drabbades av ett dataintrång i november 2025 som förblev okänt i åtta månader, där Have I Been Pwned lade till mer än 55 miljoner unika e-postadresser i sin databas den 20 juli 2026.haveibeenpwned+1

Intrånget

Komprometteringen kom till kännedom den 14 juli när 404 Media publicerade en undersökande rapport baserad på data som delats av en hackare under pseudonymen "ellie.191", som fick tillgång till Sunos system genom en leveranskedjeattack mot anställdas inloggningsuppgifter. Angriparen ska ha utnyttjat Shai-Hulud-masken, en självreplikerande skadlig kod som riktade in sig på npm-ekosystemet från september 2025, genom att skörda utvecklaruppgifter och sprida sig genom hundratals programvarupaket.podcastvideos+4

Enligt Have I Been Pwned inkluderade den stulna informationen över 55,3 miljoner unika e-postadresser, telefonnummer som använts vid registrering samt tiotusentals Stripe-köpposter som innehöll namn, fysiska adresser, köpbelopp och delvis kreditkortsinformation inklusive korttyp, utgångsdatum och de fyra sista siffrorna. Suno uppgav att de "inte har tillgång till kundernas fullständiga kreditkortsnummer i Stripe".haveibeenpwned

Åtta månader av tystnad

Suno meddelade inte de berörda användarna om intrånget. Företaget karakteriserade händelsen som en "begränsad säkerhetshändelse" som involverade "föråldrad källkod" och hävdade att ingen "känslig personlig information" komprometterats. Sunos ståndpunkt att meddelanden "inte var motiverade enligt tillämplig integritetslagstiftning" har mött kritik, eftersom typiska amerikanska lagar om dataintrång kräver offentliggörande när personuppgifter exponeras.podcastvideos

Troy Hunt, som driver Have I Been Pwned, bekräftade den 19 juli att data från november 2025-intrånget hade dykt upp offentligt veckan innan.linkedin

Bredare konsekvenser

Utöver kunddata exponerade intrånget intern källkod som avslöjade Sunos praxis för träningsdata, inklusive skrapning av mer än två miljoner musikspår från YouTube Music, tiotusentals timmar från Deezer och Genius, samt innehåll från arkivmusikbibliotek och podcast-flöden. Avslöjandet har gett ökad tyngd åt pågående upphovsrättsstämningar mot Suno från stora skivbolag, inklusive Universal Music Group ↘ 0.08% och Sony Music.youtube+1

Shai-Hulud-masken som möjliggjorde intrånget hade tidigare utlöst ett högprioriterat larm från Indiens Computer Emergency Response Team, som varnade för att attacken utgjorde risker för nystartade företag, fintech-plattformar och e-förvaltningsapplikationer som förlitar sig på npm-baserad programvara.linkedin