Una ciberataque contra Suno, el popular generador de música con inteligencia artificial, ha expuesto los datos personales de más de 55.3 millones de personas, según el servicio de notificación de brechas Have I Been Pwned. La filtración, que ocurrió en noviembre de 2025 pero apenas se ha revelado ahora gracias a reportes de 404 Media, también dejó al descubierto el código fuente de la compañía, revelando cómo habría obtenido datos para entrenar sus modelos.

¿Qué datos se robaron?

De acuerdo con Have I Been Pwned, que obtuvo una copia del conjunto de datos vulnerados, la información sustraída incluye nombres, direcciones físicas, correos electrónicos, números de teléfono, historial de compras y números de tarjeta de pago parciales, incluyendo fechas de vencimiento, tomados de la cuenta de Stripe de Suno. El atacante utilizó un ataque a la cadena de suministro para acceder a las credenciales de un empleado.

Código fuente y acusaciones de scraping

La filtración no solo comprometió datos de usuarios. El código fuente expuesto revela, presuntamente, cómo Suno habría estado extrayendo décadas de audio de plataformas como YouTube Music, Deezer, Genius, bibliotecas de música libres de derechos y feeds RSS de podcasts para entrenar sus modelos de IA. Suno había admitido anteriormente que entrena su inteligencia artificial con «archivos de música disponibles públicamente» en internet, argumentando que puede usar material protegido por derechos de autor bajo la doctrina de fair use.

Sin embargo, esta revelación ocurre en medio de un tenso enfrentamiento legal. Varios sellos discográficos importantes han demandado a Suno, alegando que sus esfuerzos de extracción masiva violan la ley de derechos de autor. Argumentan que es ilegal bajo la Digital Millennium Copyright Act (DMCA) eludir deliberadamente las protecciones de YouTube contra la extracción de datos, además de violar los términos de servicio de la plataforma. El competidor Udio también ha sido acusado de prácticas similares.

Silencio oficial

A pesar de la magnitud de la brecha, Suno no ha notificado públicamente a los usuarios afectados ni ha realizado una divulgación oficial del incidente. La compañía describió lo ocurrido como un «incidente de seguridad limitado que se contuvo rápidamente», según reportes previos, pero no se ha pronunciado sobre la nueva información que detalla la escala real del ataque. El cofundador de Suno, Mikey Shulman, no respondió a las solicitudes de comentario de TechCrunch sobre el incidente.

Un problema de confianza

Para los usuarios de Suno, la situación es doblemente preocupante. Por un lado, sus datos personales —incluyendo direcciones y detalles financieros parciales— están en manos de un atacante. Por otro, la compañía no ha sido transparente sobre el alcance del problema, dejando a millones de personas sin saber que su información fue comprometida. La falta de comunicación contrasta con las prácticas esperadas en la industria tecnológica, donde la notificación a los afectados suele ser un paso prioritario tras una brecha de seguridad.

La combinación de la exposición masiva de datos de clientes junto con las revelaciones sobre sus métodos de entrenamiento sitúa a Suno en el centro de una tormenta, tanto regulatoria como de reputación, mientras los tribunales deberán dirimir la legalidad de sus prácticas de scraping y el manejo de la seguridad de la información de sus usuarios.

Con información de TechCrunch y 404 Media.