O site de jornalismo investigativo 404 Media revelou nesta terca-feira (15 de julho de 2026) que a Suno, plataforma de geração de musica por inteligência artificial, sofreu um ataque cibernetico em novembro de 2025. Segundo o relato, um hacker que se identifica como “ellie.191” usou um ataque de cadeia de suprimentos para acessar credenciais de um funcionario e obter acesso ao código-fonte da empresa, além de dados de centenas de milhares de clientes, incluindo e-mails, números de telefone e informações parciais de pagamento via Stripe.
A confirmacao partiu da própria Suno. Em declaracao ao 404 Media e a outras publicacoes como The Verge, TechCrunch, Variety, CNET, Engadget e Pitchfork, a empresa confirmou que descobriu o incidente de segurança em novembro de 2025. A Suno classificou o caso como “um incidente de segurança limitado que foi rapidamente contido” e afirmou que o material exposto consistia em “código-fonte desatualizado que não está mais em uso”. A empresa também disse que não notificou os clientes afetados porque determinou que “notificacoes individuais não eram justificadas pelas leis de privacidade aplicaveis”.
O que o hacker acessou
Segundo o 404 Media, o hacker conhecido como “ellie.191” usou um worm chamado Shai-Hulud para comprometer um funcionario da Suno e obter credenciais de acesso ao GitHub e a serviços de nuvem. Com esse acesso, o invasor obteve código-fonte de 2023 e 2024 que detalha como a Suno coletou dados de treinamento para seus modelos de IA. Em entrevista ao 404 Media, o hacker disse que sua motivacao era simples: “eu gosto de hackear qualquer coisa e tudo.”
além do código-fonte, o hacker obteve acesso a uma lista de clientes com e-mails, números de telefone e detalhes de pagamento do Stripe. Clientes contatados pelo 404 Media confirmaram que usavam o serviço e que nunca receberam nenhuma notificacao de violacao da Suno. A empresa afirmou que não armazena números completos de cartao de credito, mas reconheceu que informações parciais de pagamento estavam envolvidas.
A questao legal da não notificacao e contestavel. A Suno tem sede em Cambridge, Massachusetts, onde a lei estadual (M.G.L. c. 93H) exige notificacao a qualquer residente cujas informações pessoais não criptografadas sejam acessadas por partes não autorizadas. E-mails e números de telefone se qualificam como informações pessoais sob essa lei.
Como a Suno coletou musicas para treinar a IA
O código-fonte vazado oferece a primeira visão concreta de como a Suno construiu sua base de treinamento. Os arquivos mostram que a empresa coletou musicas e letras de plataformas como YouTube Music, Deezer, Genius, Pond5, Jamendo, Freesound e o International Music Score Library Project (IMSLP). A Suno também buscou baixar aproximadamente 1 milhão de horas de podcasts via uma ferramenta chamada PodcastIndex.
Os números são expressivos. Um arquivo rotulado “youtube_music” registra que a empresa havia coletado 2.013.545 clipes de musica do YouTube Music no momento de sua ultima atualização. Outro arquivo detalha o volume por horas: 113.879 horas do YouTube Music, 152.162 horas do YouTube Music marcado, 62.117 horas da biblioteca Pond5, 19.514 horas do IMSLP, 17.615 horas do Genius, 12.287 horas do Deezer, 3.726 horas do Jamendo e 410 horas do Freesound. O total documentado ultrapassa 380 mil horas de audio, o equivalente a quase 43 anos de musica continua.
O código também revela que a Suno usou uma empresa terceirizada chamada Bright Data para contornar as protecoes anti-bot do YouTube, roteando solicitacoes de coleta por meio de enderecos IP rotativos. A empresa buscou especificamente versões a cappella de musicas no YouTube para obter faixas vocais limpas, separadas da instrumentacao.
Processos judiciais e o debate sobre uso justo
A Suno já e alvo de processos judiciais das principais gravadoras. A Recording Industry Association of America (RIAA), representando Universal Music Group e Sony Music Entertainment, acusa a empresa de copiar “decadas das gravacoes mais populares do mundo” e de contornar as protecoes do YouTube por meio de stream ripping. A RIAA apresentou uma queixa emenda em setembro de 2025 alegando violacao da Seccao 1201 do DMCA, que probe contornar medidas tecnológicas de proteção de direitos autorais sem necessidade de comprovar infracao de copyright.
Em resposta, a Suno mantém que treina seus modelos em “arquivos de musica disponíveis publicamente na internet aberta” e que isso constitui uso justo (fair use) sob a lei de direitos autorais. A empresa afirma que seu sistema “Original Creation, By Design” não usa nomes de artistas como metadados de treinamento e possui filtros que bloqueiam usuarios de replicar musicas existentes. A Warner Music Group, que era parte do processo, retirou-se apos fechar um acordo de licenciamento com a Suno no final de 2025.
O código-fonte hackeado agora oferece a evidencia mais direta de que serviços de proxy foram usados especificamente para contornar as defesas do YouTube, o que fortalece a argumentacao da RIAA. O próximo marco legal relevante não sera nos Estados Unidos, mas em Munique, onde o veredito do processo GEMA contra a Suno está previsto para 31 de julho de 2026, na Camara Civil 42 do Tribunal Regional de Munique.
A relevância do caso
O vazamento do Suno e um caso raro em que os internos de uma empresa de IA são expostos publicamente. A maioria das empresas de IA trata seus dados de treinamento como segredo comercial, recusando-se a divulgar o que está nos modelos. O hack mostra não apenas o que a Suno coletou, mas como coletou, de onde e em que escala.
Para os usuarios da plataforma, a revelacao de que dados pessoais e informações de pagamento foram acessados sem notificacao levanta questoes sobre a responsabilidade da empresa. Para a indústria da musica, o vazamento confirma o que as gravadoras alegavam em tribunal: a coleta em massa de musicas protegidas por direitos autorais foi sistematica e deliberada.
Para o mercado de IA em geral, o caso Suno estabelece um precedente incerto. Se a defesa de uso justo prevalecer, outras empresas poderao continuar coletando dados da internet aberta. Se for rejeitada, o custo de licenciar musicas para treinamento pode tornar inviavel modelos que dependem de coleta em larga escala. O veredito de Munique no final de julho sera o primeiro sinal de para onde essa história vai.
Fontes: 404 Media – Hack Reveals Suno AI Music Generator Scraped YouTube, Deezer, and Genius, The Verge – Suno snatched millions of songs from YouTube, Genius, and Deezer, TechCrunch – Hack suggests AI music generator Suno scraped YouTube for training data, Variety – Suno Hack Shows How Third-Party Data Trained AI Music Service’s, Pitchfork – Suno Got Hacked.
