O que o ataque hacker realmente expôs?

Em novembro de 2025, um hacker usou o Shai-Hulud, um worm que se espalha por pacotes npm comprometidos, para roubar as credenciais de um funcionário da Suno e entrar no GitHub e na nuvem da empresa. Isso deu acesso ao código-fonte e aos registros internos de 2023 e 2024, o período em que a Suno montou os conjuntos de dados usados para treinar seus modelos de geração musical.

Esses registros, compartilhados com a 404 Media e divulgados em 15 de julho de 2026, parecem uma lista de compras. Só o YouTube Music soma 2.013.545 clipes e 113.879 horas de áudio ingerido, com outras 152.162 horas contabilizadas separadamente em um pipeline «marcado». O Genius contribui com 17.615 horas, o Deezer com 12.287 horas, e a biblioteca de estoque Pond5 com impressionantes 62.117 horas. Jamendo, Freesound, o International Music Score Library Project e feeds RSS de podcasts completam a lista. Segundo o que se apurou no código-fonte, a Suno teria roteado parte do scraping do YouTube pela rede de proxies da Bright Data, girando endereços IP para driblar as proteções antiscraping do YouTube, exatamente o tipo de burla que a RIAA apontou em sua ação emendada de setembro de 2025.

«Praticamente todos os arquivos musicais de qualidade razoável acessíveis na internet aberta»

Foi assim que a própria Suno descreveu seu método de treinamento em uma petição judicial anterior, admitindo ter ingerido dezenas de milhões de gravações. As estatísticas de pipeline vazadas mostram, pela primeira vez fora da empresa, a que essa admissão realmente equivale, fonte por fonte.

Por que a Suno não avisou os clientes?

A mesma invasão expôs dados de conta de centenas de milhares de usuários da Suno: e-mails, números de telefone e informações de pagamento parciais do Stripe. A Suno afirma ter descoberto a falha pouco depois de ocorrer, chamou-a de «um incidente de segurança limitado e rapidamente contido», e sustenta que nunca guardou números de cartão completos nem outras informações pessoais sensíveis. O que ela não fez, segundo clientes que falaram com a 404 Media, foi avisá-los. Passaram-se oito meses entre a invasão e a primeira confirmação pública, e essa confirmação veio de um jornalista, não da Suno.

Isso muda a batalha jurídica da Suno?

A Suno ainda se defende da ação por violação de direitos autorais movida pelas grandes gravadoras em 2024; a Warner Music Group retirou sua própria ação depois de fechar um acordo de licenciamento ainda naquele ano, enquanto Universal e Sony mantêm a pressão. Na Alemanha, a sociedade de gestão coletiva GEMA move um processo separado, com veredicto previsto em Munique para 31 de julho de 2026, apenas duas semanas depois de o vazamento vir à tona. O processo nos Estados Unidos tem mais fôlego: um tribunal de Massachusetts adiou as moções decisivas para abril de 2027. Para os detentores de direitos, os registros de pipeline vazados são menos uma surpresa do que uma prova documental: evidência operacional, nos próprios números da Suno, do que exatamente uma defesa de uso justo agora precisa explicar.