Suno: 55M usuarios expuestos en filtración masiva de datos

¿Qué ha ocurrido?

La plataforma de música generada por inteligencia artificial Suno ha sido víctima de una filtración masiva de datos que expone más de 55 millones de cuentas de usuario. La brecha fue confirmada por Troy Hunt, fundador de Have I Been Pwned (HIBP), quien integró los archivos filtrados en su servicio de notificación. Los datos comprometidos incluyen principalmente direcciones de correo electrónico, pero también números de teléfono de aquellos usuarios que optaron por registrarse con ellos. Más preocupante aún, decenas de miles de registros de Stripe revelaron nombres completos, direcciones físicas, montos de compra y datos parciales de tarjetas de crédito: tipo de tarjeta, fecha de vencimiento y los últimos cuatro dígitos.

El contexto: scraping y demandas

Esta filtración no es un incidente aislado. Suno ya estaba en el ojo del huracán por sus prácticas de entrenamiento de IA. El individuo que reivindicó la autoría de la brecha también filtró código fuente de 2023 y 2024 que, según afirma, demuestra que la empresa extrajo millones de canciones y letras de servicios como YouTube Music, Deezer y Genius para entrenar sus modelos. Suno ha reconocido públicamente que utiliza música disponible en internet abierta, argumentando que esto constituye uso justo (fair use). Sin embargo, esta postura le ha valido demandas por parte de las principales discográficas. En 2024, la Recording Industry Association of America (RIAA) presentó una demanda colectiva contra Suno y su rival Udio por presunta infracción de derechos de autor. Entre los demandantes figuran Sony Music Entertainment, UMG Recordings y Warner Records, que representan a artistas como Bruce Springsteen, Beyoncé, Taylor Swift y Dua Lipa. Cabe destacar que Warner llegó a un acuerdo extrajudicial con Suno y ha iniciado una asociación comercial, mientras que Sony y UMG continúan con el litigio.

Impacto y consecuencias

La magnitud de la filtración —55 millones de cuentas— sitúa a Suno en el radar de los reguladores de protección de datos, especialmente en la Unión Europea bajo el RGPD, que puede imponer multas de hasta el 4% de los ingresos globales anuales. Además, la exposición de datos financieros, aunque parcial, aumenta el riesgo de fraude y phishing dirigido. Para los usuarios, esto significa que deben estar alerta ante posibles correos o mensajes sospechosos que intenten suplantar a Suno. Desde el punto de vista reputacional, la filtración agrava la desconfianza hacia las plataformas de IA generativa, que ya enfrentan críticas por el uso no autorizado de contenido protegido. El código filtrado podría ser utilizado en los tribunales como evidencia de infracción deliberada, lo que fortalecería la posición de los demandantes.

¿Qué deben saber los lectores?

Si eres usuario de Suno, lo primero es verificar si tu correo aparece en la filtración a través de Have I Been Pwned. Cambia tu contraseña inmediatamente y, si usas la misma en otros servicios, también. Revisa tus extractos bancarios y de tarjetas de crédito en busca de cargos no autorizados. Habilita la autenticación de dos factores si está disponible. Además, mantente escéptico ante cualquier comunicación que solicite información personal o financiera, incluso si parece provenir de Suno. Para el público general, este caso subraya los riesgos de compartir datos con plataformas emergentes y la importancia de que las empresas implementen medidas de seguridad robustas desde el inicio.

“La combinación de una filtración masiva de datos con la exposición de prácticas cuestionables de scraping crea una tormenta perfecta para Suno, que ahora enfrenta no solo el escrutinio regulatorio, sino también un daño reputacional significativo”, señala el analista de TheVortiq.

Lecciones para la industria

El incidente de Suno es un recordatorio de que la innovación en IA no puede ir en detrimento de la seguridad y la ética. Las empresas deben priorizar la protección de datos desde el diseño y ser transparentes sobre sus fuentes de entrenamiento. La filtración también pone de relieve la necesidad de una regulación más clara sobre el scraping de datos y el uso de contenido protegido por derechos de autor. Mientras los tribunales deciden sobre estas cuestiones, los usuarios y las empresas deben actuar con cautela.