何が起きたか
AI音楽生成サービス「Suno」で、2025年11月にサイバー攻撃が発生し、5530万人を超える利用者の個人情報が盗まれていたことが分かりました。漏洩データの検索・通知サービスを運営するHave I Been Pwnedが流出データセットのコピーを入手し、被害規模の全容が初めて明らかになりました。独立系メディア404 Mediaの報道をきっかけに発覚したものです。
流出した情報には、顧客の氏名、住所、メールアドレス、電話番号、購入履歴に加え、同社のStripeアカウントから取得された決済カード番号の一部と有効期限が含まれていました。決済プラットフォーム側から部分的とはいえカード情報が抜かれた点は、被害の深刻さを示しています。
なぜ重要か
この事案が単なる情報漏洩にとどまらないのは、盗まれたデータにSunoのソースコードが含まれていた点です。そのコードからは、SunoがDeezer、Genius、YouTubeといった配信・歌詞サイトから数百万曲の楽曲や歌詞を収集し、AIモデルの学習に用いていたとされる手口が読み取れると報じられています。
Sunoは現在、複数の大手レコード会社から、この大規模スクレイピングが著作権法に違反するとして提訴されています。つまり今回の漏洩は、係争中の訴訟における「学習データの入手方法」という核心部分を、社外に露出させた可能性があります。
説明責任の空白
注目すべきは、Sunoが漏洩の発生から数カ月が経過してもなお、自社サイトで公表せず、被害者への通知も行っていないとみられる点です。共同創業者のMikey Shulman氏はTechCrunchの取材に応じず、報道後に広報担当Rachel Racusen氏が2025年11月のセキュリティインシデントの発生自体は認め、被害人数についても否定しませんでした。しかし利用者への連絡内容は示されていません。
💼 事業会社視点：これは自社にどう効くか
AIサービスを外部から調達する事業会社にとって、今回の事案は「委託先・利用先のセキュリティとガバナンスを、機能や料金と同列で審査せよ」という警告です。とりわけ生成AIスタートアップは、学習データの取得方法自体が法的リスクを抱えるケースがあり、その企業のソースコードが流出すれば取引先まで巻き込まれかねません。
ECやSaaS事業者が留意すべきは決済情報です。SunoはStripeを利用していましたが、部分カード番号が流出しました。決済代行を使えば自社のPCI負担は減りますが、連携設定やトークン管理が甘ければ情報は抜かれ得ます。自社の決済連携を今すぐ棚卸しすべきです。
受託開発・SaaS提供側にとっては、インシデント発生時の「公表・通知の遅延」がブランドを致命的に毀損する実例です。契約書に通知義務とSLAを明記し、AIベンダー選定時は情報漏洩時の対応フローとデータ来歴（学習データの合法性）を必ず確認する。経営者は「使う前の審査」と「漏洩時の初動」を制度として持つべきです。
