O site 404 Media publicou nesta quarta-feira (15) uma reportagem com dados obtidos por um hacker que invadiu os sistemas da Suno, uma das maiores plataformas de música gerada por inteligência artificial do mundo. O invasor, que usa o pseudônimo ellie.191, afirma ter acessado o código-fonte da empresa em novembro de 2025 por meio de um ataque à cadeia de suprimentos, conhecido como supply chain attack. O material compartilhado com o veículo revela como a Suno treinou seus modelos de IA: coletando milhões de músicas e letras de plataformas como YouTube Music, Deezer e Genius, além de bibliotecas de áudio gratuitas e podcasts, sem autorização dos artistas ou das plataformas.
O que o código-fonte revela
Os arquivos obtidos pelo hacker incluem instruções de raspagem de dados, também chamada de scraping, que datam de 2023 e 2024. Um dos arquivos, identificado como youtube_music, registrava 2.013.545 clipes de música coletados do YouTube Music no momento em que foi atualizado pela última vez. Outro documento lista os conjuntos de dados montados pela Suno: 113.879 horas de YouTube Music, 17.615 horas do Genius, 62.117 horas da biblioteca de música livre Pond5, 19.514 horas do International Music Score Library Project (IMSLP), 12.287 horas do Deezer, 3.726 horas do Jamendo, 410 horas do Freesound e 103 horas de letras do MuseScore. No total, o material soma décadas de música gravada.
O código também mostra que a Suno usou uma empresa terceirizada chamada Bright Data para rotear as requisições de raspagem por meio de endereços de IP rotativos, uma técnica para contornar os sistemas de proteção do YouTube contra downloads automatizados. Esse detalhe é relevante porque, sob a lei americana, a seção 1201 do Digital Millennium Copyright Act (DMCA) proíbe a burla de medidas tecnológicas que controlam o acesso a obras protegidas, independentemente do que é feito com o conteúdo depois. A acusação de que a Suno violou essa regra já havia sido levantada pela indústria fonográfica em setembro de 2025, e o código-fonte vazado agora serve como a evidência mais direta de que a empresa usou proxies justamente para derrubar esse sistema.
Dados de clientes também foram acessados
Além do código-fonte, o hacker afirma ter acessado a lista de clientes da Suno, com centenas de milhares de registros incluindo endereços de e-mail, números de telefone e informações de pagamento do Stripe. A Suno confirmou a invasão em comunicado ao 404 Media, mas disse que o incidente foi limitado e rapidamente contido. A empresa afirmou que o código exposto é antigo e não está mais em uso, e que nenhuma informação pessoal sensível foi comprometida, destacando que não retém números completos de cartão de crédito no Stripe. Com base na natureza limitada do incidente, a Suno decidiu que não era obrigada a notificar os usuários individualmente.
Clientes afetados que falaram com o 404 Media, no entanto, confirmaram que não receberam qualquer notificação sobre a violação. A Suno tem sede em Cambridge, Massachusetts, onde a lei estadual exige notificação a qualquer residente cujas informações pessoais não criptografadas tenham sido acessadas por terceiros não autorizados. Endereços de e-mail e números de telefone se enquadram nessa definição.
O contexto judicial
A Suno é alvo de processos de violação de direitos autorais movidos pelas maiores gravadoras do mundo, incluindo Universal Music Group e Sony Music Entertainment, além da Recording Industry Association of America (RIAA). A Warner Music Group retirou-se do processo no ano passado depois de fechar um acordo de licenciamento com a empresa. Em documentos judiciais, a Suno já admitiu que treina seus modelos com essencialmente todos os arquivos de música de qualidade razoável acessíveis na internet aberta, mas argumenta que isso é permitido pela doutrina do fair use, uma exceção da lei de direitos autorais dos Estados Unidos.
O código-fonte vazado, no entanto, levanta uma questão jurídica adicional. A acusação de violação da seção 1201 do DMCA não depende da discussão sobre fair use. Burlar um sistema de proteção tecnológica é ilegal por si só, independentemente do que se faz com o conteúdo depois. Em maio de 2026, um tribunal federal negou parcialmente um pedido de arquivamento de acusações semelhantes contra a Udio, outra plataforma de música com IA, o que significa que esse tipo de acusação está avançando na Justiça.
O cronograma do caso principal da Suno nos Estados Unidos foi adiado. Em 30 de junho de 2026, o juiz F. Dennis Saylor IV, da corte federal de Massachusetts, definiu que os pedidos de julgamento sumário serão apresentados apenas em abril de 2027. Antes disso, a primeira decisão importante deve sair da Europa: o julgamento do processo movido pela GEMA, a associação alemã de direitos autorais, contra a Suno está marcado para 31 de julho de 2026, em Munique. A mesma câmara e o mesmo juiz que condenaram a OpenAI por uso de letras de música em novembro de 2025 vão analisar o caso.
O que isso significa para o mercado de IA
A invasão à Suno oferece um raro vislumbre de como as empresas de inteligência artificial realmente constroem seus modelos. Enquanto a indústria debate se o treinamento com dados públicos da internet é ou não legal, o código-fonte vazado mostra o maquinário por trás dessa prática: instruções explícitas de raspagem, uso de proxies para evitar bloqueios, e conjuntos de dados que somam centenas de milhares de horas de música protegida por direitos autorais.
O caso também expõe a fragilidade da segurança digital em startups de alto crescimento. Um ataque à cadeia de suprimentos, que comprometeu as credenciais de um funcionário, foi suficiente para acessar não apenas o código-fonte, mas também dados sensíveis de centenas de milhares de clientes. A decisão da Suno de não notificar os usuários sobre a violação, mesmo tendo conhecimento dela desde novembro de 2025, adiciona uma camada de questionamento sobre transparência e conformidade com as leis de proteção de dados.
Enquanto isso, a Suno segue operando normalmente. A empresa afirma que o código exposto não está mais em uso e que implementou medidas para evitar que usuários recriem músicas de artistas existentes. Mas o estraço reputacional já está feito. O código-fonte vazado não apenas confirma o que a indústria fonográfica suspeitava, como também fornece aos advogados dos autores evidências concretas para usar nos tribunais.
Fontes: 404 Media , Jason Koebler, The Verge , Jess Weatherbed, TechCrunch , Amanda Silberling
