Утечка Suno: Have I Been Pwned — затронуты 55,3 млн пользователей

Масштаб утечки

21 июля 2026 года TechCrunch (автор Zack Whittaker) в формате короткой новости сообщил: сервис уведомлений о утечках Have I Been Pwned оценил масштаб кибератаки на генератор AI-музыки Suno. По официальной странице breach на самом Have I Been Pwned, злоумышленник похитил персональные данные более чем 55,3 миллиона человек — это первая публичная цифра, дающая представление о размере кражи данных. Сервис получил копию утёкшего датасета: в составе — имена клиентов, физические адреса, email-адреса, номера телефонов там, где они использовались для регистрации, сведения о покупках, а также частичные номера платёжных карт из Stripe-аккаунта компании, включая тип карты и даты истечения. То есть речь не только о логинах для рассылки, но и о платёжных идентификаторах.

Связь со взломом исходного кода

Сама атака, по публикации, произошла в ноябре 2025 года, но широкой огласки достигла лишь летом 2026 года благодаря расследованию независимого издания 404 Media. Вместе с клиентскими данными был украден исходный код Suno. Код, по отчётам, иллюстрировал, как компания якобы скрейпила миллионы песен и текстов с популярных сервисов, включая Deezer, Genius и YouTube, для обучения AI-моделей. На этом фоне крупные звукозаписывающие лейблы продолжают судиться с Suno, утверждая, что массовый сбор данных нарушает авторские права.

Реакция компании

На момент выхода материала TechCrunch компания публично не раскрывала кибератаку и, по оценке издания, не уведомляла затронутых пользователей. Сооснователь Мики Шулман на запрос не ответил. После публикации представитель компании Rachel Racusen не оспорила цифру в 55+ миллионов затронутых пользователей и подтвердила, что в ноябре 2025 года действительно произошёл инцидент безопасности. Почему публичного признания на сайте до сих пор не было и какие письма, если они были, уходили пользователям, TechCrunch выяснить не удалось — компания соответствующих материалов не предоставила.

Практический вывод

Для индустрии AI-музыки кейс важен двойным риском: приватность и безопасность у быстрорастущего потребительского приложения и одновременное усиление нарратива об авторских правах — данных для обучения, уже фигурирующих в судах. Пользователям Suno имеет смысл проверить свой email на официальной странице Have I Been Pwned и пересмотреть платёжные методы, если карта была привязана к сервису — в датасете фигурировали частичные номера карт и даты истечения. Для самой компании отложенное публичное раскрытие информации после ноября 2025 года создаёт репутационный и потенциальный регуляторный риск поверх уже идущих судебных процессов по авторским правам.

По уточнению на самой странице breach на Have I Been Pwned, из платёжной системы Stripe утекли данные порядка нескольких десятков тысяч транзакций — не полные номера карт, а только тип карты, дата истечения и последние четыре цифры: сама Suno не имеет доступа к полным номерам карт в Stripe, поэтому похитить их технически было невозможно. Запись о взломе была добавлена в базу Have I Been Pwned 20 июля 2026 года — за день до публикации материала TechCrunch.