¿Qué reveló realmente el hackeo?

En noviembre de 2025, un hacker usó Shai-Hulud, un gusano que se propaga a través de paquetes npm comprometidos, para robar las credenciales de un empleado de Suno y entrar en el GitHub y la nube de la empresa. Eso le dio acceso al código fuente y a los registros internos de 2023 y 2024, el periodo en que Suno construyó los conjuntos de datos con los que entrenó sus modelos de generación musical.

Esos registros, compartidos con 404 Media y publicados el 15 de julio de 2026, parecen una lista de la compra. YouTube Music por sí solo suma 2.013.545 clips y 113.879 horas de audio ingerido, con otras 152.162 horas contabilizadas por separado en un pipeline «etiquetado». Genius aporta 17.615 horas, Deezer 12.287 horas, y el banco de stock Pond5 la asombrosa cifra de 62.117 horas. Jamendo, Freesound, el International Music Score Library Project y los feeds RSS de podcasts completan la lista. Según la información extraída del código fuente, Suno habría canalizado parte del scraping de YouTube a través de la red de proxies de Bright Data, rotando direcciones IP para sortear las protecciones antiscraping de YouTube, exactamente el tipo de evasión que la RIAA señaló en su demanda enmendada de septiembre de 2025.

«Prácticamente todos los archivos musicales de calidad razonable accesibles en el internet abierto»

Así describió la propia Suno su método de entrenamiento en un escrito judicial anterior, admitiendo haber ingerido decenas de millones de grabaciones. Las estadísticas del pipeline filtradas muestran, por primera vez fuera de la empresa, a qué equivale realmente esa admisión, fuente por fuente.

¿Por qué Suno no avisó a sus clientes?

La misma intrusión expuso los datos de cuenta de cientos de miles de usuarios de Suno: correos electrónicos, números de teléfono e información de pago parcial de Stripe. Suno asegura que se enteró de la brecha poco después de que ocurriera, la calificó de «incidente de seguridad limitado y rápidamente contenido», y sostiene que nunca almacenó números de tarjeta completos ni otra información personal sensible. Lo que no hizo, según clientes que hablaron con 404 Media, fue avisarles. Pasaron ocho meses entre la intrusión y su primera confirmación pública, y esa confirmación llegó de un periodista, no de Suno.

¿En qué cambia esto la batalla legal de Suno?

Suno sigue defendiéndose de la demanda por infracción de derechos de autor presentada por las majors en 2024; Warner Music Group retiró su propia demanda tras firmar un acuerdo de licencia después ese mismo año, mientras Universal y Sony mantienen la presión. En Alemania, la sociedad de gestión GEMA lleva un caso aparte cuyo veredicto se espera en Múnich el 31 de julio de 2026, apenas dos semanas después de conocerse la filtración. El proceso estadounidense tiene más margen: un tribunal de Massachusetts aplazó las mociones decisivas hasta abril de 2027. Para los titulares de derechos, los registros de pipeline filtrados son menos una sorpresa que una prueba documental: evidencia operativa, en las propias cifras de Suno, de exactamente lo que una defensa de uso justo tiene ahora que explicar.