Suno : 55 millions d'utilisateurs victimes d'une fuite de données et du vol de son code source

Une intrusion de novembre 2025 passée sous silence huit mois durant

C'est une fuite massive qui couvait depuis l'automne : le 25 novembre 2025, un attaquant compromettait l'infrastructure interne de Suno, le générateur de musique par intelligence artificielle fondé en 2022 et largement adopté pour permettre à quiconque de créer des chansons à partir d'un simple texte. La violation n'a pas été rendue publique par la société elle-même, mais par Troy Hunt, fondateur et gestionnaire de la base de données Have I Been Pwned (HIBP), qui a intégré 55 282 226 adresses électroniques uniques dans son système le 20 juillet 2026 — soit exactement huit mois après l'incident initial. Ni alerte aux utilisateurs, ni communiqué de presse, ni notification aux autorités de protection des données : Suno a gardé le silence complet pendant toute cette période.

Selon les investigations publiées par 404 Media, TechCrunch et Cybernews, le vecteur d'accès initial repose sur un mécanisme particulièrement sophistiqué : le malware Shai-Hulud, un ver de supply chain à propagation automatique ciblant l'écosystème npm, le gestionnaire de paquets JavaScript utilisé par la quasi-totalité des développeurs web modernes. Ce logiciel malveillant, dissimulé dans des paquets npm compromis, a infecté le poste d'un développeur Suno et permis l'exfiltration de ses identifiants d'accès, ouvrant la voie aux dépôts de code privés et aux bases de données internes de la société. Ce vecteur supply chain rappelle directement l'attaque SolarWinds de 2020, mais adapté aux écosystèmes open source contemporains.

Les données dérobées sont particulièrement sensibles pour les 55 millions de victimes. L'attaquant a mis la main sur des noms complets, des adresses postales physiques, des numéros de téléphone, l'historique des achats effectués sur la plateforme, ainsi que des données partielles de cartes de paiement issues de l'intégration Stripe : quatre derniers chiffres et dates d'expiration. Si les numéros complets de carte n'ont pas été exposés grâce à la tokenisation de Stripe, la combinaison de ces éléments suffit amplement pour mener des campagnes de phishing et de smishing (hameçonnage par SMS) ciblées et hautement personnalisées. Des acteurs malveillants peuvent se faire passer pour des agents Suno, des prestataires de paiement ou même des services gouvernementaux en s'appuyant sur ces données.

Ce qui aggrave considérablement la situation est la décision de Suno de ne pas notifier ses utilisateurs. La société a minimisé l'incident en le qualifiant de violation impliquant « du code source obsolète », affirmant que l'événement ne déclenchait pas d'obligation de notification au titre des lois sur la protection de la vie privée applicables. Cette interprétation est fortement contestée par les experts juridiques et la communauté cybersécurité. En Europe, le RGPD impose une notification à l'autorité de contrôle dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles, et aux personnes concernées lorsque le risque pour leurs droits et libertés est élevé. Des adresses postales, numéros de téléphone et données financières partielles réunies constituent précisément ce type de risque élevé selon les guidelines du Comité européen de la protection des données.

La fuite du code source ouvre un second chapitre préoccupant, aux implications juridiques potentiellement plus lourdes encore. Les chercheurs ayant analysé les fichiers exfiltrés ont identifié que le code de Suno intégrait des mécanismes d'aspiration de données musicales en masse à partir de plateformes tierces. Selon les éléments publiés, Suno aurait scraté des contenus audio depuis des services de streaming comme YouTube Music et Deezer, des bibliothèques musicales libres (Freesound, Jamendo, Pond5, le projet IMSLP), ainsi que des podcasts via des flux RSS, sans que les droits d'utilisation correspondants aient été obtenus. Ces révélations surviennent dans un contexte juridique déjà sous haute tension : Suno et Udio, deux poids lourds de la génération musicale par IA, font l'objet de procédures judiciaires engagées par la RIAA (Recording Industry Association of America) pour violation alléguée du droit d'auteur. Le code source exfiltré pourrait constituer une pièce à conviction supplémentaire dans ces dossiers, potentiellement dévastatrice pour la défense de Suno.

L'ampleur géographique de la brèche est également notable. Suno revendiquait plus de 55 millions d'utilisateurs actifs à l'international avant la divulgation, avec une concentration forte dans les marchés anglophones — États-Unis, Royaume-Uni, Australie — mais aussi une présence significative en Europe continentale et en Asie du Sud-Est. La combinaison de juridictions impliquées rend le paysage réglementaire particulièrement complexe : RGPD en Europe, CCPA en Californie, Privacy Act en Australie, PIPL en Chine — autant de textes imposant des obligations de notification, des droits à l'indemnisation et des amendes potentiellement cumulables pour une entreprise qui a fait le choix délibéré du silence.

Have I Been Pwned a joué ici son rôle habituel d'intermédiaire de transparence, en publiant la brèche malgré l'absence de communication officielle de Suno. Ce mécanisme de divulgation tierce, bien qu'indispensable pour informer les victimes, met en lumière une lacune persistante : les plateformes du secteur IA grand public ne sont soumises à aucun cadre sectoriel de notification obligatoire comparable à celui applicable aux opérateurs d'importance vitale sous NIS2, ni aux obligations déclaratives des établissements de santé sous HIPAA aux États-Unis. L'autorégulation montre ici ses limites les plus criantes.

Du côté de l'attaquant, le ver Shai-Hulud illustre l'industrialisation croissante des attaques supply chain ciblant les développeurs. En compromettant la chaîne d'approvisionnement logicielle plutôt qu'en attaquant directement les périmètres réseau protégés, les acteurs malveillants contournent les défenses périmètriques traditionnelles et obtiennent un accès interne légitime indétectable par les outils conventionnels. Cette technique est désormais documentée dans les playbooks de nombreux groupes APT, y compris ceux à finalité financière, et représente l'un des vecteurs les plus difficiles à contrer pour les équipes de sécurité.

L'industrie IA face à sa dette de sécurité : un réveil douloureux

La brèche Suno cristallise une tension de fond dans l'industrie de l'IA grand public : la croissance exponentielle des plateformes s'est faite massivement au détriment des investissements en sécurité. Les startups IA ont mobilisé des ressources colossales pour l'acquisition d'utilisateurs et l'entraînement de modèles, laissant les équipes de sécurité, les processus de réponse aux incidents et les programmes de gestion des vulnérabilités supply chain structurellement sous-dimensionnés. Le résultat est prévisible : des plateformes qui gèrent des dizaines de millions de comptes avec des pratiques de sécurité dignes de startups à leur première année d'existence.

Le cas Suno s'inscrit dans une série de violations frappant l'écosystème IA en 2025-2026. Hugging Face a subi une intrusion orchestrée par un agent IA autonome en juin 2026. OpenAI a connu plusieurs incidents mineurs depuis 2023. Des acteurs du secteur créatif ont tous été confrontés à des tentatives d'intrusion ou à des fuites de données. La liste s'allonge, révélant un secteur qui construit des capacités technologiques extraordinaires sur des fondations de sécurité insuffisantes. La dette technique se double d'une dette de sécurité qui commence à se solder de la manière la plus coûteuse qui soit : des millions de victimes et des milliards de dollars d'exposition réglementaire potentielle.

L'enjeu est particulièrement aigu pour les plateformes qui collectent des données comportementales riches. Les interactions musicales, les préférences artistiques, les créations générées constituent un profil de l'utilisateur bien plus précis que le simple couple e-mail/mot de passe. Ces métadonnées, combinées aux données personnelles exfiltrées, permettraient des attaques de manipulation ciblée d'une précision sans précédent. À l'heure où les deepfakes audio progressent rapidement, un attaquant disposant d'un profil musical complet pourrait générer des contenus personnalisés à des fins d'arnaque ou de manipulation politique.

Du point de vue réglementaire, cette affaire relance le débat sur l'application effective du RGPD aux entreprises américaines opérant en Europe. La CNIL et ses homologues européens — ICO britannique, Datatilsynet norvégien, DPA irlandaise — ont démontré leur volonté de sanctionner les entreprises ne respectant pas leurs obligations. La posture de Suno, qui maintient qu'aucune notification n'était requise, représente un pari risqué qui pourrait se solder par des sanctions réglementaires substantielles, d'autant que la durée du silence — huit mois — aggravera l'appréciation par les autorités.

Ce qu'il faut retenir

• 55,3 millions d'utilisateurs de Suno ont vu leurs données personnelles, coordonnées et informations de paiement partielles exfiltrées en novembre 2025, sans aucune notification de la société.
• Le code source volé révèle des pratiques de scraping musical massif, susceptibles d'aggraver les procédures judiciaires déjà engagées contre Suno par la RIAA.
• Les utilisateurs européens impactés peuvent déposer une plainte auprès de leur autorité de protection des données (CNIL en France) pour non-respect des obligations de notification du RGPD.