AI 음악 생성 서비스 수노가 해킹당해 학습 데이터를 어디서 가져왔는지 적힌 소스코드가 유출됐다고 404 미디어가 현지 시각 7월 15일 보도했다. 회사에 침입한 해커가 수노의 학습 라이브러리 자료를 404 미디어에 전달했다. 해커는 수십만 명분의 이용자 정보와 스트라이프 결제 정보에도 접근했다고 밝혔다.

유출된 소스코드는 2023년과 2024년에 쓰인 것으로 보이며, 어디서 무엇을 얼마나 긁어 오는지가 적혀 있다. 스크래핑은 웹에 있는 자료를 프로그램으로 자동 수집하는 일을 말한다. 한 파일의 주석에는 지니어스와 유튜브 뮤직, 프리사운드, 자멘도, 국제악보도서관, 디저, 태그가 붙은 유튜브 오디오에서 가져오며 음악이 아닌 것은 걸러낸다고 적혀 있었다. 유튜브 뮤직 파일에는 마지막으로 갱신된 시점까지 음악 클립 201만 3,545개를 수집했다는 기록이 남아 있다.

데이터셋별 분량도 주석에 적혀 있었다. 유튜브 뮤직 11만 3,879시간, 태그가 붙은 유튜브 오디오 15만 2,162시간, 폰드5 6만 2,117시간, 국제악보도서관 1만 9,514시간, 지니어스 1만 7,615시간, 디저 1만 2,287시간, 자멘도 3,726시간, 프리사운드 410시간, 뮤즈스코어 가사 103시간이다. 모두 합치면 38만 시간을 넘는다. 팟캐스트는 RSS 피드로 받아 갔다.

수노는 음반사들이 낸 저작권 소송에 걸려 있다. 소송 과정에서 수노는 “공개된 인터넷에서 접근할 수 있는, 쓸 만한 품질의 음악 파일 사실상 전부”로 학습했고 “수천만 건의 녹음”이 들어갔다고 인정했다. 저작물 학습이 공정 이용에 해당한다는 주장을 펴 왔고, 소송 가운데 하나는 합의로 끝났다. 미국음반산업협회는 수노가 유튜브에서 곡을 직접 받아 갔다고 주장해 왔는데, 404 미디어는 유출 자료에서 그 주장이 사실로 확인됐다고 전했다.

같은 침해로 이용자 개인정보도 함께 유출됐다. 유출 계정을 조회해 주는 서비스 하브아이빈폰드는 7월 20일 수노 항목을 등재하며 5,530만 명이 넘는 사람의 정보가 포함됐다고 밝혔다. 이름과 집 주소, 이메일 주소, 전화번호, 구매 내역이 들어 있었고, 회사의 스트라이프 계정에서 나온 카드번호 일부와 만료일도 포함됐다. 침해가 일어난 시점은 2025년 11월이다.

수노는 사고를 홈페이지에 알리지도, 정보가 유출된 사람들에게 통지하지도 않았다. 테크크런치 보도 뒤 수노 대변인 레이철 라쿠센은 피해 인원 수치를 부인하지 않으면서 2025년 11월에 보안 사고를 겪었다고 확인했다. 다만 회사가 이용자에게 보낸 통지문이 있는지 묻는 질문에는 답하지 않았고, 공동창업자 마이키 슐먼도 논평 요청에 응하지 않았다.

자세한 내용은 404 미디어에서 확인할 수 있다.

이미지 출처: 수노