Suno: la filtración que expuso cómo entrena su IA

Music Business World Wide ⎯ MBW Explains es una serie en la que analizamos a fondo las noticias, a través de datos y contexto, para que comprendas mejor los temas clave. Solo los suscriptores de MBW+ tienen acceso ilimitado a estos artículos. MBW Explains cuenta con el apoyo de Reservoir.

El generador de música con (IA) inteligencia artificial Suno confirmó una filtración de datos en noviembre de 2025 que, según el servicio de notificación de filtraciones Have I Been Pwned, expuso la información personal de 55,3 millones de usuarios.

Have I Been Pwned declaró haber obtenido una copia del conjunto de datos robado y haber añadido los registros a su base de datos el 20 de julio.

La filtración fue reportada por primera vez por el medio independiente 404 Media el 15 de julio, en la misma investigación que expuso el código fuente de Suno y, con él, cómo la compañía entrenaba sus modelos de IA.

1. Más de 55 millones de direcciones de correo electrónico quedaron expuestas, y los registros de Stripe fueron aún más lejos.

Según el servicio, el conjunto de datos obtenido por Have I Been Pwned contenía más de 55 millones de direcciones de correo electrónico únicas (55.282.226 en total), además de los números de teléfono que los usuarios habían proporcionado al registrarse.

Una porción menor, decenas de miles de registros de compras de Stripe, también contenía los nombres de los clientes, direcciones físicas, importes de las compras y detalles parciales de las tarjetas, incluido el tipo de tarjeta, la fecha de caducidad y los últimos cuatro dígitos, según Have I Been Pwned.

Según el servicio, aproximadamente el 24 % de las direcciones de correo electrónico del conjunto de datos ya habían aparecido en filtraciones anteriores.

Cuando 404 Media publicó la noticia el 15 de julio, informó que el pirata informático había accedido a información de cientos de miles de clientes de Suno.

La publicación de Have I Been Pwned cinco días después situó la cifra por encima de los 55 millones.

En su declaración a 404 Media, un portavoz de Suno dijo: "Es importante destacar que Suno no tiene acceso a los números completos de las tarjetas de crédito de los clientes en Stripe".

2. Suno ocultó la brecha de seguridad durante ocho meses y nunca informó a los usuarios.

Suno determinó en noviembre de 2025 que había sido "objeto de un incidente de seguridad limitado que fue rápidamente contenido", según declaró un portavoz de la compañía a 404 Media.

El portavoz afirmó que Suno había "llevado a cabo de inmediato una investigación y verificado que el incidente involucró principalmente código fuente obsoleto que ya no se utiliza en Suno" y que "no se vio comprometida ninguna información personal sensible".

Suno concluyó que las notificaciones individuales de violaciones de seguridad "no estaban justificadas según las leyes de privacidad aplicables", dijo el portavoz.

Según 404 Media y TechCrunch, la empresa no hizo pública la filtración en ese momento.

Algunos clientes de Suno cuyos datos quedaron expuestos declararon a 404 Media que no habían sido notificados de la filtración.

Según la publicación, Suno no había reconocido públicamente la brecha de seguridad en su sitio web en ese momento y no proporcionó a TechCrunch ningún aviso que pudiera haber enviado a los usuarios.

Tras la publicación del informe de TechCrunch el 21 de julio, la portavoz de Suno, Rachel Racusen, no puso en duda el número de usuarios afectados y confirmó que la empresa había sufrido un incidente de seguridad en noviembre de 2025, según informó el medio.

Eso deja aproximadamente ocho meses entre la filtración y su divulgación pública.

3. El mismo hackeo expuso el alcance del rastreo de Suno.

La brecha salió a la luz porque el pirata informático también obtuvo el código fuente de Suno, según 404 Media, que analizó los datos.

El código filtrado mostraba que la empresa había extraído canciones y letras de plataformas como YouTube Music, Deezer y Genius, según el informe.

Según 404 Media, los comentarios en un archivo indicaban que el sistema obtendría información de "genius_hq, youtube_music, freesound, jamendo, imp, deezer, ytm_tagged" y que "se filtraría el contenido que no fuera música", mientras que un archivo llamado "youtube_music" registraba 2.013.545 clips de música.

Los conjuntos de datos incluían 113.879 horas de youtube_music, otras 152.162 horas de ytm_tagged, 62.117 horas de la biblioteca de stock Pond5, 19.514 horas del International Music Score Library Project, 17.615 horas de Genius y 12.287 horas de Deezer; al menos décadas de audio, según informó el medio.

La hacker, que usa el nombre de usuario ellie.191, declaró a 404 Media que obtuvo acceso infectando a un empleado de Suno con Shai-Hulud, un gusano informático que roba credenciales de GitHub y de servicios en la nube.

MBW publicó un análisis más completo del código pirateado cuando salió a la luz la noticia, incluyendo las plataformas que Suno utilizó y el volumen de material que registró.

4. Suno ahora enfrenta una demanda colectiva por el silencio.

Suno fue objeto de una demanda colectiva propuesta el 24 de julio en el Tribunal de Distrito de los Estados Unidos para el Distrito de Massachusetts, donde la empresa tiene su sede.

El demandante principal, Alec Pilavian, residente de Florida y cliente de Suno, busca representar a todos los ciudadanos de Estados Unidos cuyos datos se vieron comprometidos.

La denuncia alega que Suno tenía conocimiento del incidente en noviembre de 2025, pero que los usuarios se enteraron solo cuando se hizo público el 20 de julio.

La demanda acusa a la empresa de recurrir a "medidas de seguridad baratas e ineficaces" y exige una indemnización por daños y perjuicios, además de una orden judicial que obligue a los miembros del grupo a someterse a un seguimiento crediticio durante al menos diez años.

En respuesta a la demanda, un portavoz de Suno declaró a MBW que el incidente "involucró principalmente código fuente obsoleto y una cantidad limitada de información asociada con ciertos usuarios".

El portavoz afirmó que Suno no almacena la información completa de las tarjetas de pago de sus clientes ni recopila datos de sus cuentas bancarias, y que la empresa había contratado a un experto externo en ciberseguridad para auditar sus hallazgos iniciales.

5. Se sitúa en medio de la disputa por derechos de autor de Suno.

Suno se está defendiendo contra Universal Music Group y Sony Music Entertainment en una demanda por infracción de derechos de autor coordinada por la RIAA, y argumenta que la formación sobre obras protegidas por derechos de autor está amparada como uso legítimo.

En un documento presentado ante el tribunal, Suno ha declarado que sus datos de entrenamiento "incluyen prácticamente todos los archivos de música de calidad razonable que son accesibles en internet".

UMG y Sony Music Entertainment pretenden ampliar la demanda a más de 61.000 grabaciones, una medida que podría elevar la indemnización legal máxima posible a más de 9.000 millones de dólares, frente a los aproximadamente 84 millones de dólares de la demanda original de 560 obras, como ha informado MBW.

Suno también perdió un caso de infracción de derechos de autor presentado por la sociedad de gestión colectiva alemana GEMA el 31 de julio, cuando el Tribunal Regional de Múnich dictaminó que había infringido los derechos de autor al utilizar el repertorio de la sociedad para su formación; se trata del primer fallo de este tipo en Europa.

Warner Music Group llegó a un acuerdo con Suno en noviembre de 2025 y formalizó una alianza de licencias que incluía la adquisición por parte de Suno de la plataforma de descubrimiento de conciertos Songkick.

La inteligencia artificial ya está transformando la industria musical, pero también está poniendo sobre la mesa nuevos retos en materia de derechos de autor, datos, licenciamiento y modelos de negocio. Entender estos cambios es clave para quienes buscan formar parte de la industria y tomar decisiones estratégicas en un entorno que evoluciona constantemente.

En el Certificado Los Angeles Xperience Film & Music Business de Xperience Makers podrás conocer de cerca cómo funcionan los negocios detrás de la música y el entretenimiento, conectar con profesionales de la industria y prepararte para enfrentar los nuevos retos de un sector en constante transformación.

Porque entender hacia dónde va la industria también es parte de aprender a construir su futuro.