Nach Angaben von Have I Been Pwned wurden von Suno und Paidwork Datensätze mit insgesamt zig Millionen Konten entwendet und anschließend publik. HIBP wertete die Leaks aus und veröffentlichte die Ergebnisse zu beiden Fällen.
Suno wurde dem Bericht zufolge im November 2025 angegriffen. Öffentlich bekannt wurde der Einbruch erst in diesem Monat, als 404 Media meldete, dass Hacker an Quellcode und Nutzerdaten gelangt seien. Aus dem gestohlenen Quellcode ging laut Bericht außerdem hervor, dass Suno Musik und Podcasts von großen Plattformen wie Deezer, YouTube und Genius abgeschöpft hatte.
HIBP teilte am Montag mit, in den kompromittierten Suno-Daten 55,3 Millionen eindeutige E-Mail-Adressen identifiziert zu haben, die Suno-Konten zugeordnet sind. Das geleakte Material umfasste zudem Telefonnummern sowie zehntausende Stripe-Zahlungsdatensätze. Diese enthielten Namen, Postadressen, Kaufbeträge und teilweise Zahlungsinformationen, konkret Kartentyp, Ablaufdatum und die letzten vier Ziffern der Kartennummer.
Im Fall von Paidwork erklärten Hacker nach Angaben des Berichts, das Unternehmen im März 2026 angegriffen zu haben. In der vergangenen Woche veröffentlichte ein Bedrohungsakteur eine angeblich von Paidwork gestohlene 11-Gigabyte-Datenbank und behauptete, sie enthalte Informationen von rund 22 Millionen Nutzern.
Die Analyse von HIBP ergab dort 23,3 Millionen eindeutige E-Mail-Adressen in den geleakten Daten. Hinzu kamen Namen, Passwort-Hashes, Postadressen, Geburtsdaten, Telefonnummern, Bankkontonummern, Finanztransaktionen und Profilinformationen der Nutzer.
SecurityWeek hat nach eigenen Angaben sowohl Suno als auch Paidwork um eine Stellungnahme gebeten. Antworten der Unternehmen enthält der Bericht nicht.