ビジネス動向・小互の解説

Sunoの学習データがハッカーに暴露：コードに「YouTube Musicなどから約38万時間を取得」と明記

ハッカーがワームでSunoに侵入。コードには取得元サイトと時間数が明記され、ユーザーデータも流出。同社は「個別通知の必要なし」と説明。

1分でわかるポイント
  • 「ellie.191」と名乗るハッカーが、Shai-Huludというワームを使い、Suno社員のアカウントを入手。学習データ関連のソースコードを404 Mediaに提供しました。
  • コードのコメントには、YouTube Music、Pond5、Deezer、Geniusなどから楽曲を取得したと記載。9つのデータセットを合わせると約38万時間に上ります。youtube_musicファイルには、201万以上の音声クリップを取得済みとも記されています。
  • 取得にあたっては、Bright Dataのプロキシを使ってYouTubeから楽曲を取得。特にアカペラ音声を探していたことも分かりました。また、約42万のポッドキャスト番組から約100万時間のダウンロードを計画していました（これは計画段階であり、全てダウンロード済みという意味ではありません）。
  • 同じ侵入で、ハッカーはSunoユーザーのメールアドレス、電話番号、Stripe関連の決済情報も入手。このハッカーは404 Mediaに対し、影響を受けたユーザーは数十万人規模と語っています。TechCrunchの報道では、カード番号の一部も含まれていたとされています。
  • Sunoは、このセキュリティインシデントを2025年11月に発見し、影響は限定的。主に古いコードであり、完全なカード番号も保有していないため、法的に個別通知の必要はないと説明しています。一方、404 Mediaが取材したユーザーからは「通知を受け取っていない」との声が上がっています。
1導入

ハッカーがSunoに侵入し、2つの情報を暴露

AI音楽生成サービス「Suno」がハッキングされました。ハンドルネーム「ellie.191」を名乗るハッカーが、Shai-Hulud（砂虫）と呼ばれるワームを使って従業員のログインアカウントを入手。学習データ関連のソースコードをテックメディアの404 Mediaに提供しました。

コード内で最も注目すべき点は、学習データの入手元と規模です。YouTube Music、Deezer、Genius、Pond5といったサイト名がコメントに明記され、合計で約38万時間に達します。さらに、約100万時間分のポッドキャストをダウンロードする計画もあったことが分かりました。

  • 113,879 時間 · YouTube Music（youtube_music）
  • 152,162 時間 · 別のYouTube関連データセット（ytm_tagged、単独では最長）
  • 62,117 時間 · Pond5素材ライブラリ
  • 12,287 時間 · Deezer、その他Geniusの歌詞など
  • ~100万 時間 · ポッドキャストのダウンロード計画（約42万番組が対象）

同じ侵入の中で、このハッカーはSunoユーザーのメールアドレス、電話番号、決済代行会社Stripe関連の情報も閲覧しました。ハッカーは404 Mediaに対し、影響を受けたユーザーは数十万人規模だと語っています。TechCrunchの報道では、資料にはカード番号の一部も含まれていたとされています。

一方、Sunoの説明では、このセキュリティインシデントは2025年11月に発見され、すぐに鎮圧。影響は限定的で、個々のユーザーへの通知は不要と判断したとのことです。しかし、404 Mediaが取材した一部のユーザーは、報道で初めて個人情報流出の可能性を知ったと証言しています。

◎
この記事で注目すべき点は2つあります。1つ目は、Sunoが訓練に際して、どのサイトからどれだけのデータを取得していたのか。これまで曖昧な説明しかありませんでしたが、コードのコメントに具体的な記述が見つかりました。2つ目は、会社がハッキング後にユーザーへ適切に通知したかどうかです。404 Mediaが2026年7月15日に最初に報道し、その後Music Business WorldwideやVariety、TechCrunchなども追随しました。
Shai-Huludとは？

Shai-Huludは「サプライチェーン」を狙うワームの一種。企業の公式サイトを直接攻撃するのではなく、プログラマーのPCにインストールされているツールやログイン情報を標的にし、GitHubやクラウドサービスなどのアカウントを窃取します。ハッカーのellie.191氏は404 Mediaに対し、このワームを使ってSunoの従業員を標的にしたと語っています。侵入動機を尋ねたところ「自分は何でもハッキングするのが好きだ」と答えていたといいます。

404 Mediaの記事冒頭画像
404 Mediaの記事冒頭画像。出典：404 Media（表示: Image: Suno）
2規模

データの出所と総量

メディアが確認したソースコードは、2023年から2024年頃のもの。あるコメントには、以下のライブラリからデータを取得し、音楽以外のものは除外する、と記されていました。

コードのコメントに記載されたデータセット名

genius_hq、youtube_music、freesound、jamendo、imp（IMSLP）、deezer、ytm_tagged

この他、pond5_music、musescore_lyricsといったデータセットのメモもありました。コメントには「non-music will be filtered out」（音楽以外は除外される）と書かれています。

約38.2万
時間・9つのデータセットの合計（約43年分に相当）
約26.6万
時間・YouTube関連のデータセット2つの合計
201万+
クリップ・youtube_musicファイルに記録された数
約100万
時間・ポッドキャストのダウンロード計画（次節で詳述）
データセットごとの長さ（時間）
ytm_tagged
152,162
youtube_music
113,879
pond5_music
62,117
imslp
19,514
genius_hq
17,615
deezer
12,287
jamendo
3,726
freesound
410
musescore
103

バーが長いほど数が大きいことを示し、最長はytm_taggedです。上の9項目を単純合計すると約381,813時間。404 Mediaの記事では「少なくとも数十年分の音楽に相当する」とだけ述べ、合計値は公表していません。ポッドキャスト約100万時間は別の計画であり、この表には含まれていません。

ストリーミング
YouTube Music
youtube_musicとytm_taggedの2つのデータセットで、約26.6万時間。youtube_musicファイルには、201万以上のクリップを取得済みと記録されています。
ストリーミング
Deezer
約1.23万時間。Deezerは通常、全曲を聴くには有料またはサブスクリプションが必要です。Sunoは「オープンなインターネット上の公開データのみを使用」と説明していますが、両者がどのように両立するのか詳細は公表されていません。
歌詞サイト
Genius
約1.76万時間。Geniusは主に歌詞を提供しており、楽曲自体はApple Musicなどの埋め込み再生に依存していることが多く、サイト自体が楽曲ファイルを直接ホストしているわけではありません。
素材ライブラリ
Pond5など
Pond5はShutterstock傘下で、公開情報によると約250万のオーディオトラックを保有。コメントにあった62,117時間という数値について、MBWなどの報道では、Sunoがその相当部分を取得した可能性を指摘しています。
3手法

コード上でどのように取得していたのか

これまで述べたのは「どれだけ取得したか」。次は「どのように取得したか」です。Music Business Worldwideなどは404 Mediaの報道に基づき、さらに具体的な詳細を報じています。

取得元 YouTubeなど Bright Data プロキシ取得 アカペラ検索 音楽以外を除外 データセット化 Sunoモデル 学習に使用
図解：YouTube関連の取得フロー。他のサイトの詳細な取得方法については、404 Mediaはファイルから完全には読み取れなかったとしています。

YouTube：プロキシを使用し、アカペラも探索

コードによると、SunoはBright Dataのプロキシサービスを使用し、YouTube上の楽曲を取得していました。また、「a cappella（アカペラ）」つまりボーカルだけの音源を検索しており、歌声を分離抽出する目的があったと見られています。

レコード会社が問題視するストリームリッピングは、音楽をストリーミング再生しながら、音声をファイルとして保存する行為です。ソースコード内のこのフローはスクリプトによってバッチ処理されており、「モデルがたまたまウェブ上で数曲聴いた」という次元の話ではありません。

ポッドキャスト：約100万時間のダウンロード計画

コードには、PodcastIndexを通じて約42万番組のポッドキャストを特定する処理もありました。選定条件は、各番組が少なくとも5話、各話約30分以上で、合計約100万時間の音声をダウンロードしようとしていた形跡があります。

この約100万時間はダウンロード計画であり、全て完了し、学習データに使われたという証拠は公開報道では確認されていません。先述の9つのデータセット合計約38万時間は、コード内に記録された別の数値であり、ポッドキャスト計画と混同しないよう注意が必要です。

「公開データ」に関する会社の公式見解

Sunoは法廷文書やカリフォルニア州の情報開示ページで、トレーニングには「オンラインで公開されている音楽ファイル」を使用し、有料壁やパスワード保護は尊重すると述べています。しかし、具体的に名前が挙がったDeezerやPond5は、一般的に有料またはサブスクリプションが必要です。Sunoが「有料壁を尊重」しながらこれらのソースを入手した仕組みについて、公開資料では詳しく説明されていません。

4訴訟

訴訟との関連性

Sunoは元々レコード会社と訴訟を抱えています。今回流出したソースコードは、「どのサイトから、どのように取得したか」という詳細を補完するものとなりました。

2024年以降 · 大手レコード会社が提訴
全米レコード協会（RIAA）の調整のもと、ユニバーサルやソニーなどがSunoに対し、無許可で大量の著作権で保護された楽曲を学習に使用したとして提訴。Sunoはこれをフェアユース（公正使用）と主張しています。Suno自身も、学習データセットが「オープンなインターネット上にある、音質が良好なほぼ全ての音楽ファイル」で構成され、その数は数千万件の録音に達することを認めています。
2025年9月 · 訴状の内容が拡大
RIAAはさらに、SunoがYouTubeからストリームリッピング（ストリーミング再生中の音声を保存する行為）を行い、プラットフォームの不正ダウンロード防止技術（ローリング暗号など）を迂回したと主張。これは、米国のDMCA（デジタルミレニアム著作権法）の「技術的保護手段の回避禁止」条項に抵触する可能性があります。回避規制への抵触は「学習がフェアユースに当たるか」とは別問題であり、分離して判断され得ます。
2025年11月 · 会社がセキュリティインシデントを認識
Sunoは当時、限定的なセキュリティインシデントを発見し、すぐに鎮圧したと発表。学習コードとユーザーデータが広く議論されるようになったのは、2026年7月のメディア報道を受けてのことです。
2026年5月頃 · 賠償請求額が増額
Music Business Worldwideの報道によると、ユニバーサルとソニーは、訴訟対象の楽曲を560曲から約61,000曲（音声フィンガープリントで特定）に拡大しようと申請しました。法定賠償額の上限を単純計算すると、理論上は約8,400万ドルから90億ドル以上に跳ね上がります。ただし、裁判所がこの拡大を認めるかどうかは未決定です。
2026年6月29日 · Jamendoも提訴
音楽ライセンスプラットフォームのJamendoが、同じ米国裁判所でSunoを提訴。Jamendoは、約55,600曲が非商用の学術目的に限定されており、Sunoが商用ライセンスを購入せずに学習に使用したと主張。少なくとも約1,780万ユーロの賠償を求めています。
2026年7月15日 · 404 Mediaが報道
ソースコードのコメントに、YouTube Musicなどのサイト名と時間数が明確に記されていました。404 Mediaとフォローする複数のメディアは、「SunoがYouTubeから直接楽曲を取得していた」という指控と一致すると報じています。
2つの観点から見る重要性

第1に著作権：学習時の複製が米国法上フェアユースとみなされるか。第2に技術的保護手段：YouTubeのダウンロード防止機能を迂回したか。第1の論点が係争中であっても、第2の論点は独立して成立し得ます。今回流出した資料は、「YouTubeからの一括取得」という事実をより明確にしたと言えます。

As we have stated in public filings and disclosures, Suno’s AI models have been trained on publicly available music files and related metadata accessible on third-party websites on the open Internet. Suno広報担当者の404 Mediaへの回答（Music Business Worldwideなどが引用）
5ユーザー視点

会社の説明と、ユーザーの認識

学習データの著作権問題と、ユーザー情報流出・通知の有無。この2つの論点が、同じセキュリティインシデントの中で浮上しています。

Sunoの主張

2025年11月に限定的なセキュリティインシデントを発見し、すぐに鎮圧。影響は主に使用停止済みの旧コードに限定され、機微な個人情報の漏洩はない。ユーザーのStripeでの完全なカード番号は保有しておらず、法的に個別通知の必要はないと判断。学習データについては、カリフォルニア州の規制に基づき適切に開示済みと説明。

報道・ユーザーの主張

ハッカーのellie.191氏は、数十万人分のユーザーのメールアドレス、電話番号、Stripe関連情報を閲覧できたと主張。TechCrunchの報道では、資料にカード番号の一部が含まれていたとされる。404 Mediaの記者であるJason Koebler氏はBlueskyで「ユーザーには一度も通知がなかった」と指摘。実際に404 Mediaの取材に応じた顧客も「流出の通知は受けておらず、報道で初めて知った」と証言しています。

現在、確実に確認できる事実は2つあります。1つ目は、Sunoがこのインシデントを「限定的」と判断し、個別通知は不要としたこと。2つ目は、少なくとも一部のユーザーは2026年7月の報道で初めてその存在を知ったことです。完全なカード番号が流出したのか、Stripe上で具体的にどの項目が見えていたのかについては、今後の会社説明や規制当局・訴訟の結果を待つ必要があります。

Sunoはカリフォルニア州のAB 2013開示ページで現在も、「学習データは数千万件の公開音楽ファイルと関連するテキスト情報で構成され、2023年春から収集。パブリックドメインや著作権で保護された楽曲が含まれる可能性があり、有料壁やパスワード保護は尊重する」と説明しています。今回の流出で新たに明らかになったのは、これまでの曖昧な説明にはなかった詳細、つまり具体的なサイト名、データセットごとの時間数、Bright Dataプロキシの使用、アカペラ音声の探索といった事実です。

The hacked data is a rare look at exactly how AI models and tools are built. Jason Koebler / 404 Media、2026-07-15

主な出典：404 Mediaの記事（Jason Koebler、2026-07-15）。404 Mediaは後半は有料で、無料部分はデータセットの時間数まで。ワーム、Bright Data、アカペラ、ポッドキャスト計画、会社声明、ユーザーへの通知なし、Jamendo提訴などについては、Music Business Worldwide、Variety、TechCrunch、TechTimes、および記者のBlueskyとのクロスチェック結果です。Suno自身の開示ページ：カリフォルニア州 AB 2013。9つのデータセットの時間数は単純合計。ポッドキャストの約100万時間はダウンロード計画の規模です。