Cosa ha davvero rivelato l'attacco hacker?

A novembre 2025, un hacker ha usato Shai-Hulud, un worm che si propaga tramite pacchetti npm compromessi, per rubare le credenziali di un dipendente di Suno e accedere a GitHub e al cloud dell'azienda. In questo modo ha ottenuto accesso al codice sorgente e ai log interni del 2023 e del 2024, il periodo in cui Suno ha costruito i dataset usati per addestrare i suoi modelli di generazione musicale.

Quei log, condivisi con 404 Media e resi noti il 15 luglio 2026, sembrano una lista della spesa. YouTube Music da solo conta 2.013.545 clip e 113.879 ore di audio ingerito, con altre 152.162 ore registrate separatamente in una pipeline «taggata». Genius contribuisce con 17.615 ore, Deezer con 12.287 ore, e la libreria di stock Pond5 con un impressionante totale di 62.117 ore. Jamendo, Freesound, l'International Music Score Library Project e i feed RSS di podcast completano l'elenco. Secondo quanto emerso dal codice sorgente, Suno avrebbe instradato parte dello scraping di YouTube attraverso la rete proxy di Bright Data, ruotando gli indirizzi IP per aggirare le protezioni anti-scraping di YouTube, esattamente il tipo di elusione citato dalla RIAA nella sua denuncia modificata di settembre 2025.

«Praticamente tutti i file musicali di qualità ragionevole accessibili sull'internet aperto»

È così che Suno ha descritto il proprio metodo di addestramento in un precedente atto giudiziario, ammettendo di aver ingerito decine di milioni di registrazioni. Le statistiche di pipeline trapelate mostrano, per la prima volta al di fuori dell'azienda, a cosa corrisponda davvero quell'ammissione, fonte per fonte.

Perché Suno non ha avvisato i suoi clienti?

La stessa intrusione ha esposto i dati degli account di centinaia di migliaia di utenti Suno: e-mail, numeri di telefono e informazioni di pagamento Stripe parziali. Suno afferma di aver scoperto la violazione poco dopo l'accaduto, l'ha definita «un incidente di sicurezza limitato e rapidamente contenuto», e sostiene di non aver mai conservato numeri di carta completi o altre informazioni personali sensibili. Quello che non ha fatto, secondo i clienti che hanno parlato con 404 Media, è stato avvisarli. Sono passati otto mesi tra l'intrusione e la prima conferma pubblica, arrivata da un giornalista, non da Suno.

In cosa cambia la battaglia legale di Suno?

Suno si sta ancora difendendo dalla causa per violazione del copyright intentata dalle major nel 2024; Warner Music Group ha ritirato la propria causa dopo aver firmato un accordo di licenza più avanti nello stesso anno, mentre Universal e Sony continuano a fare pressione. In Germania, la società di gestione collettiva GEMA porta avanti una causa separata, con verdetto atteso a Monaco di Baviera il 31 luglio 2026, appena due settimane dopo la diffusione della fuga di notizie. Il procedimento statunitense ha più margine: un tribunale del Massachusetts ha rinviato le mozioni decisive ad aprile 2027. Per i titolari dei diritti, i log di pipeline trapelati sono meno una sorpresa che una prova documentale: una prova operativa, nei numeri della stessa Suno, di esattamente ciò che una difesa basata sul fair use deve ora spiegare.