O vazamento da Suno expõe mais de 113.000 horas de dados de treino musical recolhidos por scraping

A plataforma de música com IA Suno sofreu uma violação de dados em 2025, quando um hacker que usou o worm Shai-Hulud se infiltrou nos sistemas da empresa e divulgou código-fonte interno, revelando as origens dos dados de treino. Os ficheiros vazados, inicialmente reportados pela 404 Media, documentam que a Suno fez scraping de mais de 113,879 horas do YouTube Music, 62,117 horas da biblioteca de conteúdos Pond5 e 12,287 horas da Deezer, entre outras fontes. A intrusão também expôs e-mails de clientes, números de telefone e informação de pagamentos da Stripe para o que o hacker descreve como centenas de milhares de utilizadores. A Suno identificou o incidente em Novembro de 2025 e descreveu-o como limitado, envolvendo sobretudo código-fonte desatualizado. A violação fornece confirmação técnica das alegações que a Recording Industry Association of America fez no seu processo de 2024 contra a Suno, que acusou a empresa de extrair músicas diretamente do YouTube — uma acusação que a Suno contestou com a defesa de fair use.

Documentos de código-fonte vazados: origens e escala dos dados de treino

O material vazado consiste em instruções de scraping e registos internos de 2023 e 2024. Segundo comentários de ficheiros internos analisados pela 404 Media, a biblioteca de treino incluía 113,879 horas de YouTube Music, 152,162 horas de faixas do YouTube com tags, 62,117 horas do Pond5, 12,287 horas da Deezer e 17,615 horas num conjunto de dados identificado como genius_hq, associado a material recolhido através do Genius. O código também descreveu planos para descarregar cerca de 1 milhão de horas de áudio de podcasts via feeds RSS. Um ficheiro interno de acompanhamento da ingestão do YouTube Music, por si só, registou 2,013,545 clips musicais.

O hacker afirma que usou malware chamado worm Shai-Hulud, nomeado em referência às criaturas de areia (sandworms) em Dune, de Frank Herbert. A Suno, uma das maiores geradoras de música com IA online, permite que os utilizadores escrevam uma descrição em texto e recebam uma música completa em segundos. Para construir essa capacidade, foi necessário um conjunto de treino substancial — uma coleção de ficheiros de áudio usada para ensinar ao modelo como soam diferentes géneros e estilos.

Suno reconhece a violação envolvendo registos de clientes

O hacker afirmou ter acedido a registos associados a centenas de milhares de clientes, incluindo e-mails, números de telefone e informação relacionada com a Stripe. A Suno contesta que informação pessoal sensível tenha sido comprometida. A empresa diz que identificou o incidente em Novembro de 2025 e chamou-lhe limitado. A Suno concluiu que a exposição envolveu sobretudo código-fonte desatualizado que já não estava em uso e determinou que não era necessária notificação individual dos clientes ao abrigo das leis de privacidade aplicáveis. Os utilizadores estão a saber da violação através da cobertura noticiosa.

A Suno já tinha divulgado, ao abrigo da lei AB 2013 da Califórnia, que os seus dados de treino podem incluir música sujeita a proteção de propriedade intelectual e tinha listado o corpus como dezenas de milhões de ficheiros de áudio musicais publicamente disponíveis. O que o hack acrescenta é especificidade — o processo legal era vago por desenho, e o código vazado não é.

Acusações no processo da RIAA corroboradas pelos ficheiros vazados

A Recording Industry Association of America alegou, numa emenda de 2025 ao seu processo original de 2024 contra a Suno, que a empresa estava a extrair músicas diretamente do YouTube. O processo procura 150,000 dólares por cada incidente de infração. O código-fonte roubado corrobora a alegação central da RIAA. O processo da Suno com a Sony e a UMG continua ativo em tribunal federal. A avaliação da empresa situa-se em 5,4 mil milhões de dólares, com cerca de 100 milhões de utilizadores na plataforma.

A Udio, alvo num processo paralelo apresentado pela mesma coligação de grandes editoras, chegou a acordo com a Warner Music em Novembro de 2025 e está a fazer a transição para uma plataforma licenciada. Em Junho de 2026, The Atlantic publicou quatro bases de dados pesquisáveis documentando música usada para treinar modelos de IA — uma contendo 12 milhões de faixas, outra com 9 milhões, e mais duas com cerca de 100,000 cada.

Perguntas Frequentes

Que dados a violação da Suno expôs em 2025?
A violação expôs código-fonte interno que documenta que a Suno fez scraping de 113,879 horas do YouTube Music, 62,117 horas do Pond5, 12,287 horas da Deezer e outras fontes. O hacker também afirmou ter acedido a e-mails de clientes, números de telefone e informação de pagamentos da Stripe para centenas de milhares de utilizadores.

Quando é que a Suno identificou o incidente de segurança?
A Suno identificou o incidente em Novembro de 2025 e descreveu-o como limitado, envolvendo sobretudo código-fonte desatualizado que já não estava em uso. A empresa concluiu que não era necessária notificação individual dos clientes ao abrigo das leis de privacidade aplicáveis.

Como é que a violação se relaciona com o processo da RIAA contra a Suno?
O código-fonte vazado corrobora a alegação da Recording Industry Association of America no seu processo de 2024, segundo a qual a Suno ripou músicas diretamente do YouTube. O processo procura 150,000 dólares por cada incidente de infração e continua ativo em tribunal federal, com a Sony e a UMG.