AI音楽生成サービス「Suno」が2025年11月に受けたハッキングで、5,530万人以上の個人情報が流出していたことが明らかになった。データ漏洩追跡サービス「Have I Been Pwned」が7月20日に登録し、TechCrunchの報道によって広く知られることになったこのインシデントは、Sunoがユーザーへの通知を行っていないという点でも問題視されている。

何が流出したか

Have I Been Pwned の情報によると、今回の流出に含まれるデータは以下のとおり。

  • 5,530万件以上のユニークなメールアドレス
  • 電話番号（電話番号で登録したユーザーのみ）
  • 氏名・住所・購入金額（Stripeの決済情報から）
  • クレジットカードの種別・有効期限・下4桁（フルナンバーは含まれない）

ソースコードの流出も同時に起きており、こちらはYouTube MusicやDeezerからの無断スクレイピングの実態を示すものとして7月16日に報じられていた（→関連記事）。今回の「個人情報」流出はその別の側面だ。

Sunoの対応

当初Sunoは、404 Mediaによるハッキング報道を受けて「機密性の高い個人情報は侵害されていない」と述べていた。しかしTechCrunchがHave I Been Pwndedのデータを示して改めて問い合わせたところ、広報担当のRachel Racusen氏は「2025年11月にセキュリティインシデントが発生したことは確認する」とし、5,530万人という数字も否定しなかった。

共同創業者のMikey Shulman氏はコメントを拒否。2026年7月23日時点で、Sunoは公式サイトでの情報開示も、ユーザーへの通知メールの送信も行っていない。

なぜこれが問題か

規模の問題だけではない。GDPRや米国のCCPAをはじめ、多くの法域では個人情報漏洩後72時間以内の当局への届出と、被害者への通知が義務付けられている。Sunoがどの法域で事業展開しているかによって義務の内容は異なるが、「発生から8ヶ月後も何も公表していない」という事実は、法的リスクという以前に、ユーザーへの誠実さの問題として重く受け止めるべきだ。

フルカード番号は含まれないとはいえ、メールアドレス・住所・下4桁の組み合わせはフィッシング詐欺やなりすましに使われうる。5,530万という数字はSpotifyの月次有料ユーザー（約2億5,000万人）と比較すると小さく見えるかもしれないが、Sunoの有料ユーザーが200万人超とされることを踏まえると、無料登録者を含む全ユーザーベースがそのまま流出した規模感だ。

論点

Sunoにとってこのインシデントは、著作権訴訟と並走するもう一つの重大リスクだ。現在、ソニー・ユニバーサルをはじめとするレーベルが学習データの無断利用を巡って訴訟中であり、その文脈でIPO準備中とも報じられている（7月時点、企業評価額約54億ドル）。

ユーザーの観点からすれば、「AI音楽を作れる便利なサービス」として信頼してきたプラットフォームが、個人情報を守れず、それを黙っていたという事実は、単なるバグ報告とは次元が違う。

作り手・聴き手への示唆

Sunoのアカウントを持っている人は、以下の対応を取っておくことを勧める。

  • パスワードを変更する（他のサービスで同じパスワードを使っていた場合は、そちらも）
  • Have I Been Pwned（haveibeenpwned.com）で自分のメールアドレスを確認する
  • 不審なフィッシングメールに注意する

Sunoからの通知が来ていないからといって、影響がないとは言えない。

Sources: