Suno piraté : 55,3 millions de comptes exposés, la brèche remonte à 2025

Le 21 juillet 2026, le service de notification de fuites de données Have I Been Pwned a révélé l'ampleur d'une brèche survenue chez Suno, le générateur de musique par intelligence artificielle : plus de 55,3 millions de comptes ont vu leurs données personnelles exposées.

Suno permet à n'importe qui de générer des morceaux originaux à partir d'une simple description textuelle, un service qui a conquis des dizaines de millions d'utilisateurs. Le détail qui change tout : l'attaque ne date pas de juillet 2026, elle remonte à novembre 2025. Suno ne l'a jamais annoncée publiquement. Ce sont les révélations du média indépendant 404 Media qui ont mis l'affaire au jour, avant que Have I Been Pwned obtienne une copie du jeu de données volé et confirme l'ampleur du sinistre.

Ce que contient le fichier volé

D'après Have I Been Pwned, les informations dérobées comprennent :

• les noms, adresses postales et adresses email des clients ;
• leurs numéros de téléphone ;
• l'historique de leurs achats ;
• des numéros de cartes bancaires partiels, avec leur date d'expiration, issus du compte Stripe de Suno.

Ce dernier point mérite votre attention même s'il n'inclut pas le numéro complet des cartes : une fuite de métadonnées de paiement (nom du porteur, adresse, date d'expiration) fournit à un attaquant tout ce qu'il faut pour construire des campagnes de phishing crédibles, en se faisant passer pour Suno ou pour la banque du client.

Huit mois de silence, et une confirmation a minima

Entre l'intrusion (novembre 2025) et sa révélation publique (juillet 2026), Suno n'a, semble-t-il, ni publié d'annonce sur son site ni notifié individuellement les personnes concernées. Sollicité par TechCrunch, le cofondateur de Suno Mikey Shulman n'a pas répondu à la demande de commentaire. Après la publication de l'article, la porte-parole Rachel Racusen a confirmé qu'un incident de sécurité avait bien eu lieu en novembre 2025, sans contester le chiffre de 55 millions de comptes concernés. Elle n'a en revanche fourni aucune preuve d'une communication envoyée aux utilisateurs.

Le code source volé éclaire aussi la manière dont Suno a été entraîné

Autre volet de cette fuite : les attaquants ont également récupéré le code source de Suno. Ce code révélerait comment l'entreprise a massivement collecté des chansons et des paroles sur des plateformes comme Deezer, Genius et YouTube pour entraîner ses modèles. Plusieurs grandes maisons de disques poursuivent déjà Suno en justice, estimant que cette collecte à grande échelle enfreint le droit d'auteur. La fuite ne dévoile donc pas seulement des données clients : elle ajoute potentiellement une pièce au dossier judiciaire en cours.

Ce que vous devez faire si vous utilisez Suno

Si vous avez un compte Suno, quelques réflexes s'imposent :

• Vérifiez votre adresse email sur Have I Been Pwned pour confirmer si elle figure dans ce jeu de données.
• Changez votre mot de passe Suno, et activez une double authentification si le service la propose.
• Surveillez les relevés de la carte utilisée pour payer votre abonnement, même si les numéros complets ne semblent pas avoir fuité.
• Restez vigilant face aux emails qui mentionneraient votre historique d'achats Suno : c'est exactement le type d'information qui rend un email de phishing crédible.

Ce que ça implique pour les développeurs et les PME qui intègrent une IA tierce

Cette affaire dépasse le cas Suno. Dès qu'une entreprise française connecte un outil IA tiers, que ce soit pour générer du contenu, transcrire des appels clients ou automatiser une tâche métier, elle confie potentiellement des données personnelles à un nouveau sous-traitant. Quelques points à vérifier avant de signer :

• L'historique de sécurité du fournisseur. A-t-il déjà communiqué sur des incidents passés ? Le silence de huit mois de Suno est justement le genre de signal qui devrait alerter un acheteur professionnel.
• La minimisation des données envoyées. N'envoyez à un service IA tiers que les données strictement nécessaires à la tâche : pas besoin de transmettre l'adresse complète d'un client pour générer un texte marketing.
• Les clauses contractuelles de notification. Un contrat de sous-traitance sérieux prévoit un délai de notification en cas de brèche, condition nécessaire pour respecter vos propres obligations RGPD envers la CNIL en cas de fuite touchant des données de résidents européens.

Notre lecture chez CZSyn

Cette brèche illustre une réalité que l'on rappelle souvent à nos clients : un outil IA grand public, même perçu comme ludique, devient une cible de choix dès qu'il agrège des dizaines de millions de comptes et des métadonnées de paiement. La technologie de génération musicale de Suno n'a rien à voir avec la solidité de son infrastructure de sécurité, ce sont deux sujets distincts, et cette affaire montre qu'une croissance rapide peut laisser le second à la traîne.

Le point qui nous inquiète le plus n'est pas la brèche elle-même, c'est le silence de huit mois qui l'a suivie. Pour une PME qui intègre un outil IA tiers dans son quotidien, la vraie question n'est pas seulement « ce fournisseur est-il performant ? » mais « comment réagit-il le jour où ça tourne mal ? ». Nous recommandons à nos clients de tenir un registre simple des sous-traitants IA utilisés, avec pour chacun la nature des données transmises, pour pouvoir réagir vite si l'un d'eux est un jour concerné par ce genre d'incident.

Sources primaires

• TechCrunch, « AI music generator Suno breach affects 55M users, per Have I Been Pwned », 21 juillet 2026.
• Have I Been Pwned, haveibeenpwned.com, service de vérification des fuites de données.
• Suno, suno.com, site officiel du service concerné.