A conta da Suno vazou 55,3 milhões de conjuntos de dados pessoais, e os hackers ainda enviaram “provas de violação de direitos autorais” para a gravadora

A plataforma de música com IA Suno sofreu um ataque em novembro de 2025. Foram vazados 53,3 milhões de e-mails de usuários e dezenas de milhares de registros de pagamentos da Stripe, só sendo incluídos no Have I Been Pwned em 20 de julho deste ano. O que torna tudo ainda pior é que os hackers também soltaram junto o código-fonte de 2023 a 2024, no qual está claramente escrito que a Suno buscou de fontes como YouTube Music, Deezer e Genius mais de 380 mil horas de músicas e letras — exatamente o núcleo da acusação com a qual a Sony Music e a UMG agora processam a empresa.
（Recapitulação: Sony processa Suno em audiência neste mês: IA usar músicas protegidas por direitos autorais para treinar conta como “uso justo”? é a primeira vez que o tema vai a julgamento）
（Contexto adicional: a startup de música com IA Suno viu a avaliação dobrar em meio ano e disparar para US$ 5,4 bilhões; acordo de licenciamento de direitos com a Warner deve lançar novos produtos）

O vazamento de conta em si já é ruim o bastante; o que é realmente fatal é o código-fonte que os hackers anexaram de brinde.

O ataque ocorreu em novembro de 2025, mas só veio à tona oito meses depois. O serviço de alerta de segurança Have I Been Pwned adicionou entradas da Suno em 20 de julho. O fundador Troy Hunt apontou, na explicação de login, que esses dados contêm mais de 53,3 milhões de e-mails exclusivos e que, se os usuários tivessem se cadastrado com número de telefone, a informação do telefone também estava inclusa. Troy Hunt também mencionou que 24% dos e-mails já estavam presentes, desde antes, nos bancos de dados de vazamentos existentes do HIBP.

A explicação de login afirma que os dados vazados também incluem dezenas de milhares de registros da Stripe; os campos abrangem nome, endereço físico, valor da compra e ainda tipo de cartão, data de validade e os últimos quatro dígitos do número do cartão. A Suno esclareceu que a empresa não consegue, por meio da Stripe, ler o número completo do cartão, então o risco de fraude direta de “carding” seria limitado. Essa afirmação pode até estar correta, mas a combinação de nome + endereço + histórico de consumo é justamente o material mais eficaz para phishing.

A porta-voz da Suno, Rachel Racusen, não negou o número de pessoas afetadas e confirmou que a empresa teve um incidente de segurança em novembro de 2025. No entanto, até agora o site oficial da Suno não publicou nada sobre o caso e não apresentou registros de notificação aos usuários. Quem realmente colocou a informação no ar foi a reportagem da 404 Media — e a empresa foi uma das que ficaram para trás, admitindo depois.

Código-fonte vazado exposto

Para as gravadoras, o vazamento de contas é só entrada. Os hackers também publicaram o código-fonte da Suno de 2023 a 2024, no qual aparece diretamente a origem e a escala dos materiais usados no treinamento. A lista compilada pela 404 Media, além dos alvos que o público já especulava — YouTube Music, Deezer e Genius — também inclui o banco de efeitos sonoros Pond5, Jamendo, Freesound, o projeto de biblioteca internacional de partituras (IMSLP) e podcasts obtidos via RSS.

Só o YouTube Music tem 2.013.545 trechos de músicas, 113.879 horas. Outro conjunto marcado como ytm_tagged tem 152.162 horas. Somando ainda Pond5 com 62.117 horas, IMSLP com 19.514 horas, Genius com 17.615 horas, Deezer com 12.287 horas e Jamendo com 3.726 horas. O total ultrapassa 380 mil horas, o que equivale a cerca de 43 anos de áudio ininterrupto. Os nomes das pastas no código já trazem genius_hq, youtube_music, deezer e ytm_tagged — nem deram trabalho para fazer algum tipo de empacotamento.

O valor dessa lista está no fato de que ela não precisa de tradução. Nos últimos dois anos, para as gravadoras provarem que os modelos de IA consumiram músicas próprias, foi necessário usar comparação de “impressão digital” de áudio para reverter para resultados a partir das saídas — além de convidar especialistas para explicar os algoritmos em tribunal.

Warner já está em terra firme, Sony e UMG ainda estão na água

O pano de fundo do processo precisa voltar a 2024. A Associação da Indústria Fonográfica dos Estados Unidos (RIAA), em nome de Sony Music Entertainment, UMG Recordings e Warner Records, entrou com ações de direitos autorais contra a Suno e a Udio. A acusação central é que teria havido coleta em larga escala de gravações protegidas por direitos autorais para treinar o modelo sem autorização. A linha de defesa da Suno ao longo do caso sempre foi a de uso justo; inclusive, nos documentos legais, a empresa chegou a reconhecer que treinou usando “quase todos os arquivos musicais disponíveis na internet, obtidos abertamente, com qualidade razoável”, em uma escala de dezenas de milhões de gravações.

As três acusadoras depois seguiram caminhos diferentes. A Warner Music Group fechou um acordo em 25 de novembro de 2025 e passou a atuar em parceria licenciada; em seguida, a avaliação da Suno dobrou e chegou a US$ 5,4 bilhões. Sony e UMG optaram por continuar brigando; e, só neste mês, elas acabaram de iniciar um confronto direto sobre uso justo.