Vazamento no Suno expõe 55 milhões e o scraping por trás da IA de música
Invasão à geradora de música por IA revelou o código-fonte da raspagem de faixas e os dados de dezenas de milhões de clientes, sem aviso aos titulares.
O vazamento no Suno, geradora de música por inteligência artificial, atingiu 55,3 milhões de contas e só veio a público em julho de 2026, oito meses depois de ocorrer.
O mesmo ataque expôs o código-fonte da empresa, que registra a raspagem de milhões de faixas do YouTube, Deezer, Genius e bibliotecas de áudio para treinar seus modelos — material no centro da ação bilionária das gravadoras.
A Suno tratou o episódio como incidente contido e decidiu não notificar os clientes, o que reacende, sob a ótica brasileira, o dever de comunicação de incidentes de segurança previsto no art. 48 da LGPD.
Um invasor que se identifica como ellie.191 comprometeu as credenciais de um funcionário do Suno usando o Shai-Hulud, um worm de cadeia de suprimentos que varre logins de GitHub e de serviços de nuvem, e chegou ao código-fonte da geradora de música por inteligência artificial. Foi com esse material que o site 404 Media construiu a reportagem publicada em 15 de julho de 2026.
O vazamento no Suno trouxe uma dupla revelação. O código expôs como a empresa raspou — coletou de forma automatizada e em massa — milhões de faixas de plataformas de terceiros para treinar seus modelos, e a mesma intrusão deu acesso a informações de centenas de milhares de clientes, incluindo dados de pagamento no Stripe. O incidente de segurança ocorreu em novembro de 2025, mas não foi comunicado aos titulares na ocasião.
O tamanho da raspagem que o código registrou
Os números logados nos arquivos dão a dimensão. Segundo o 404 Media, os conjuntos de dados montados pelo Suno somaram 113.879 horas rotuladas como youtube_music e outras 152.162 horas como ytm_tagged, além de 62.117 horas da biblioteca de estoque Pond5, 19.514 horas do International Music Score Library Project, 17.615 horas do Genius e 12.287 horas do Deezer. Um arquivo chamado youtube_music registrava a ingestão de 2.013.545 clipes musicais.
O código apontava o uso de proxies da empresa Bright Data para raspar o YouTube e de um serviço chamado PodcastIndex para reunir cerca de 420 mil podcasts, com tentativa de baixar perto de um milhão de horas de áudio. A prática não é isolada no setor: a concorrente Udio admitiu, em resposta à ação da Sony Music, ter raspado áudio do YouTube, e o próprio 404 Media já reportou coleta semelhante por Nvidia e Runway ML — no caso da Nvidia, motivo de uma ação coletiva em 2025.
Ação do RIAA pode saltar de US$ 84 mi a US$ 9 bi
A raspagem revelada pelo código reforça a acusação central das gravadoras. Coordenada pelo RIAA, a associação da indústria fonográfica americana, a ação em curso na Justiça Federal de Boston tem Universal Music Group e Sony Music Entertainment como autoras e sustenta que o Suno praticou stream ripping — a captura de faixas transmitidas — e burlou a cifra rotativa do YouTube, a proteção técnica que impede o download não autorizado. Contornar essa barreira viola as regras anticontorno da Lei de Direitos Autorais do Milênio Digital, a DMCA, nos Estados Unidos.
A exposição financeira é o que interessa ao caixa. As gravadoras pedem indenização legal de até US$ 150 mil por obra infringida, mais até US$ 2,5 mil por ato de contorno. Em maio, UMG e Sony pediram para ampliar a disputa de 560 para 61.026 obras identificadas nos dados de treinamento por impressão digital de áudio, salto que elevaria o teto teórico de cerca de US$ 84 milhões para mais de US$ 9 bilhões. A plataforma Jamendo abriu ação própria em 29 de junho, cobrando ao menos 17,8 milhões de euros. A Warner Music Group, que era co-autora, saiu do caso após acordo em novembro de 2025 e uma parceria de licenciamento. Mesmo sob litígio, o Suno levantou mais de US$ 400 milhões em junho.
Empresa decidiu não avisar os 55 milhões
55,3 milhões de contas foram atingidas, número que só ganhou dimensão pública quando o serviço Have I Been Pwned, que rastreia vazamentos, incluiu o incidente em sua base em 20 de julho de 2026. Os dados expostos, segundo o TechCrunch, incluíam nomes, endereços físicos, e-mails, telefones, registros de compra e números parciais de cartão retirados da conta da empresa no Stripe, com datas de validade.
O ponto de governança do vazamento no Suno não é só o volume, é a decisão de silenciar. A empresa qualificou o episódio como "um incidente de segurança limitado, rapidamente contido", envolvendo "código-fonte desatualizado" e sem comprometer "informação pessoal sensível", e afirmou que notificações individuais "não eram exigidas pelas leis de privacidade aplicáveis". Clientes confirmaram ao 404 Media que nunca foram avisados, e o cofundador Mikey Shulman não respondeu aos pedidos de comentário. Sob a ótica brasileira, o episódio esbarraria no art. 48 da LGPD, que obriga o controlador a comunicar à Agência Nacional de Proteção de Dados e aos titulares os incidentes de segurança que possam acarretar risco ou dano relevante.
Julgamento de fair use se aproxima nos EUA
O calendário aperta a defesa do Suno. A empresa sustenta que treinar com material protegido é uso legítimo (fair use), doutrina que autoriza o uso limitado de obra alheia sem licença, e uma audiência de julgamento antecipado sobre esse ponto está prevista para julho de 2026, enquanto o juiz ainda não decidiu sobre a ampliação para mais de 61 mil obras. A acusação de contorno das barreiras técnicas corre em separado: ela mira o modo de obtenção das faixas, não a cópia em si, e não é alcançada pela tese de fair use.
O ecossistema já se move contra a IA generativa de áudio. O Deezer, uma das plataformas citadas no código, afirma que mais da metade dos uploads diários em seu serviço já é gerada por inteligência artificial, diz identificar faixas de modelos como Suno e Udio com 99,8% de acerto e sinalizou mais de 13,4 milhões de músicas de IA em 2025. Na mesma semana, o Google — dono do YouTube — passou a enfrentar nova ação de editoras de livros por uso de conteúdo em treinamento de IA, sinal de que a disputa sobre dados de treinamento se espalha para além da música.
Defesa da Suno e a fala do CEO no centro
"Nossos modelos foram treinados com arquivos de música publicamente disponíveis e metadados acessíveis em sites de terceiros na internet aberta", disse um porta-voz do Suno ao 404 Media, repetindo a linha usada nos autos. A empresa diz construir seus modelos sob o conceito de "Original Creation, By Design", não usar nomes de artistas como categoria de metadado de treinamento e sustentar que "artistas merecem tanto novas oportunidades quanto proteções fortes".
Do outro lado do debate, críticos apontam o descompasso entre esse discurso e a escala da coleta, e recuperam a fala do próprio Mikey Shulman, CEO e fundador, que declarou em um podcast acreditar que "a maioria das pessoas não gosta da maior parte do tempo que passa fazendo música". A tensão permanece em aberto: de um lado, a tese de uso legítimo aplicada à cópia; de outro, a acusação de burlar proteções técnicas, que o Judiciário americano ainda vai julgar.
Revisão editorial: Ricardo Nery
Compilado produzido com apoio de automação a partir das fontes listadas, com edição e revisão humanas antes da publicação.
Na data de 14 de agosto de 2026, momento da publicação desta notícia compilada, todos os links estavam disponíveis. Não nos responsabilizamos nem controlamos eventuais alterações, remoções das URLs ou modificações no conteúdo das fontes consultadas.
