AI Music / Data Breach
Suno、5,500万人分の
アカウント情報が流出
音楽生成AI大手Sunoのユーザーデータが大規模に流出したと、英IT専門メディア The Register が報じた。震源は7月中旬に発覚したソースコード漏えいと同じ侵入だった可能性が高い。
5,530万件が
Have I Been Pwned に登録された
英国のIT専門メディア The Register は2026年7月21日、AI音楽生成サービス Suno のユーザーデータが大規模に流出したと報じた。侵害通知サービス Have I Been Pwned（HIBP）を運営するセキュリティ専門家 Troy Hunt が7月20日、5,530万件を超えるアカウント記録をデータベースに追加したことで明るみに出た。
流出データの大半はメールアドレスと電話番号だが、決済代行 Stripe に由来する数万件規模のレコードには氏名・住所・購入金額に加え、カード種別や有効期限、下4桁といった部分的な決済情報も含まれていた。Suno は個々のユーザーへの通知は行っておらず、「適用される法律上、個別通知は義務付けられていない」との立場を取っている。
数字で見る、今回の流出
学習データの出どころが
コードごと漏れた
同じ侵入経路で7月中旬に持ち出されたソースコードには、Sunoの学習データ収集の内訳が記録されていた。
今回のユーザーデータ流出は、単発の事件ではない。米メディア 404 Media が7月15日に報じたところによると、"ellie.191" を名乗るハッカーは2025年11月、サプライチェーン型ワーム「Shai-Hulud」を使ってSuno従業員の認証情報を窃取し、社内システムに侵入していた。今回の55百万件規模のユーザーデータ流出も、この時に得られたアクセス権限が起点になったとみられる。
持ち出されたソースコードには、Sunoの学習データ収集パイプラインの内訳が記されていた。YouTubeから約200万本・計113,879時間分の動画クリップ、ストック音源サービス Pond5 から62,117時間、歌詞サイト Genius から17,615時間分の歌詞データ、音楽配信サービス Deezer から12,287時間分の楽曲がそれぞれ収集されていたことが判明した。Music Business Worldwide は、これが Universal・Sony・Warner の各レコード会社が起こしている著作権訴訟で、無断学習データ利用の疑惑を補強する材料になり得ると指摘している。
業務利用ほど、リスクが大きい
影響の大きさは、Sunoの使い方によって変わる。読者タイプ別に、取るべき対応を整理した。
経営・情シス担当
法人・チームアカウントでSunoを契約している場合、パスワードの使い回しがあれば即リセットし、2要素認証を有効化したい。Stripe経由の決済情報が一部含まれるため、紐づくカードの利用明細も確認する。
マーケティング・SNS運用
楽曲生成をキャンペーン制作に使うチームは、登録メールがフィッシングの標的になり得る点に注意。生成物の著作権リスク（RIAA訴訟の行方）も、商用利用の契約更新判断に加えたい。
プロダクト・ベンダー選定
生成AIベンダーを契約する際、データガバナンス体制やインシデント通知プロセスの開示状況を、機能・価格と同列の評価軸に加える必要が出てきた。
| 個人・趣味利用 | 業務・チーム利用 |
|---|---|
| 流出データはメール・電話番号が中心で実害は限定的 | Stripe経由の決済情報や社内連絡先が対象になり得る |
| パスワード変更・使い回し解消で概ね対応可能 | 2要素認証・カード再発行・社内周知が必要になる |
| 生成物の著作権リスクは個人利用の範囲にとどまる | 商用利用時はRIAA訴訟の帰趨が事業リスクに直結する |
速く伸びたサービスほど、
土台の甘さが後から露呈する。
生成AIの急成長は
まだガバナンスに追いついていない
Sunoは2024年末から2025年にかけてユーザー数を急拡大させてきた。今回明らかになったのは、その裏で従業員の認証情報管理や、Stripeを含む委託先とのデータ取り扱い体制のセキュリティが追いついていなかったという実態だ。生成AI企業の多くが同様の急成長局面にあり、Suno固有の問題では終わらない可能性がある。
今後の焦点は、SunoがHIBP登録後にどこまで個別通知や補償対応を広げるか、そしてRIAA訴訟でこの流出ソースコードが証拠として扱われるかだ。ユーザー側の当面の推奨アクションは、(1) Sunoアカウントのパスワードを他サービスと分けて変更する、(2) 登録メールアドレスをHave I Been Pwnedで確認する、(3) 業務利用であれば社内セキュリティ部門へ速やかに報告する、の3点に絞られる。
一方で留保も必要だ。流出した決済情報はカード番号全体ではなく下4桁と有効期限にとどまり、現時点で不正利用の実例が確認されているわけではない。またソースコードが示す学習データの内訳も、それ自体が著作権侵害を法的に確定させるものではなく、進行中の訴訟における状況証拠のひとつという位置づけにとどまる点は押さえておきたい。