Suno potwierdziło, że w listopadzie 2025 roku doszło do incydentu bezpieczeństwa, który firma miała szybko opanować. Dopiero w lipcu 2026 roku ujawniono jednak skalę zdarzenia: według Have I Been Pwned baza obejmuje 55,3 mln unikalnych adresów e-mail, a w części rekordów także numery telefonów, dane zakupowe, adresy oraz fragmentaryczne informacje o kartach. Firma utrzymuje, że pełne numery kart nie były dostępne i nie zdecydowała się na indywidualne powiadomienia użytkowników. Sprawa rodzi pytania o ocenę ryzyka i przejrzystość komunikacji.
Co znalazło się w ujawnionej bazie
Serwis Have I Been Pwned dodał incydent Suno do swojej bazy 20 lipca 2026 roku. Według jego analizy wykradzione dane zawierały 55,3 mln unikalnych adresów e-mail. Numery telefonów występowały w przypadkach, w których użytkownicy wykorzystywali je do rejestracji.
W mniejszej części zbioru znalazły się również dziesiątki tysięcy rekordów związanych z płatnościami obsługiwanymi przez Stripe. Obejmowały one nazwiska, adresy, kwoty zakupów, typ i termin ważności karty oraz jej cztery ostatnie cyfry. Suno podkreśla, że nie miało dostępu do pełnych numerów kart płatniczych.
Have I Been Pwned nie wymienia haseł wśród kategorii danych objętych tym wyciekiem. Nie zmienia to jednak faktu, że połączenie adresu e-mail, numeru telefonu, adresu fizycznego i historii zakupów może ułatwiać tworzenie wiarygodnych wiadomości phishingowych.
Suno wiedziało o incydencie od listopada 2025 roku
W oświadczeniu przekazanym mediom firma poinformowała, że wykryła incydent w listopadzie 2025 roku, przeprowadziła dochodzenie i szybko ograniczyła jego skutki. Według Suno zdarzenie dotyczyło przede wszystkim nieużywanego już kodu źródłowego, a wrażliwe dane osobowe nie zostały naruszone.
Firma uznała też, że zakres informacji o klientach był ograniczony i nie wymagał indywidualnych powiadomień na podstawie obowiązujących przepisów. Ujawniony później katalog danych opisany przez Have I Been Pwned stawia jednak tę ocenę w nowym świetle. Suno nie podało publicznie własnej liczby poszkodowanych kont.
Wyciek obejmował również materiały techniczne dotyczące platformy, w tym kod źródłowy. To właśnie analiza tych plików uruchomiła osobną dyskusję o źródłach wykorzystywanych do trenowania modeli Suno. Dla użytkowników najważniejsza pozostaje jednak skala ujawnionych danych kontaktowych i zakupowych.
Co powinni zrobić użytkownicy
Użytkownicy mogą sprawdzić swój adres e-mail w serwisie Have I Been Pwned. Warto też zweryfikować, czy hasło używane przy logowaniu do Suno nie było wykorzystywane w innych usługach. Jeżeli było powtarzane, należy je zmienić na unikalne, a tam, gdzie to możliwe, włączyć uwierzytelnianie dwuskładnikowe.
Szczególnej ostrożności wymagają wiadomości podszywające się pod Suno, Stripe lub operatorów płatności. Nie należy otwierać linków z nieoczekiwanych e-maili i SMS-ów ani podawać dodatkowych danych. Rozliczenia i historię karty warto monitorować pod kątem nieznanych transakcji.
Test zaufania dla platform muzycznych opartych na AI
Sprawa Suno nie jest wyłącznie technicznym incydentem. Platformy generatywne budują pozycję na ogromnych społecznościach twórców, a zaufanie użytkowników zależy nie tylko od jakości modeli, lecz także od sposobu ochrony danych i przejrzystości reakcji po naruszeniu bezpieczeństwa.
Najważniejszym nierozstrzygniętym pytaniem pozostaje to, dlaczego użytkownicy nie zostali poinformowani bezpośrednio po zdarzeniu oraz czy ocena dokonana przez firmę w listopadzie 2025 roku uwzględniała pełny zakres wykradzionych informacji.
