Eind vorig jaar lekten bij AI-muziekplatform Suno de gegevens van ruim 55 miljoen gebruikers. Het gebeurde in november 2025, maar werd pas deze week openbaar toen de e-mailadressen op internet opdoken. Have I Been Pwned voegde precies 55.282.226 unieke adressen toe aan zijn database. Als je ooit met Suno muziek hebt gemaakt, is de kans groot dat jouw adres ertussen zit.
Ik gebruik Suno zelf ook wel eens en verwijs er op deze site naar, bijvoorbeeld op de pagina over Suno AI in het Nederlands. Dus dit raakt ons allebei. Hieronder zet ik op een rij wat er precies gelekt is, hoe het kon gebeuren en wat je zelf het beste doet. Geen paniek, wel een paar concrete stappen. Ook mensen die hier muziek maken met AI, doen er goed aan om weinig gegevens achter te laten.
Wat is er precies gelekt?
Volgens Have I Been Pwned zaten in de buitgemaakte dataset e-mailadressen, namen, telefoonnummers, adresgegevens, aankopen en gedeeltelijke creditcardgegevens. Dat laatste klinkt eng, maar let op het woord "gedeeltelijk". Van enkele tienduizenden gebruikers lekten via betaalprovider Stripe de naam, het adres, het aankoopbedrag en een stuk van de kaart: het kaarttype, de vervaldatum en de laatste vier cijfers.
Je volledige creditcardnummer zat er dus niet bij. Suno stelt tegenover beveiligingssite 404 Media dat het zelf geen toegang heeft tot complete kaartnummers in Stripe. Iemand kan met deze gegevens geen betaling doen. Maar zoals ik verderop uitleg, is dat halve stukje kaart wel genoeg om je een heel overtuigende oplichtingsmail te sturen.
Zo klinkt het in de Studio
Deze opdracht typten we letterlijk in de Studio:
Vrolijk Nederlands popliedje over mijn zus Fleur die net haar rijbewijs heeft gehaald, na vier keer. Zing de naam Fleur in het refrein.
Hoe kon dit gebeuren?
De aanvaller gebruikte de Shai-Hulud-worm, een stuk malware dat zich via de npm-softwareketen zelf verspreidt. Zo werden de inloggegevens van een developer bij Suno buitgemaakt. Met die ene ontwikkelaar-account lag de deur open naar de interne code en databases.
Dat is de vervelende les van bijna elk groot datalek: het begint zelden met een spectaculaire hack, maar met één account dat te veel mag. Hoe groter het platform, hoe aantrekkelijker het doelwit. 55 miljoen accounts op één hoop is een enorme buit voor wie erin komt.
Wat moet je nu doen?
Gebruikte je Suno met hetzelfde e-mailadres als voor je andere accounts? Loop dan even deze vier dingen na.
- Check je adres. Vul je e-mailadres in op haveibeenpwned.com en kijk of het in dit of een ander lek voorkomt.
- Reken op phishing. Van de gelekte adressen was maar 24 procent al eerder bij een lek bekend. Dat betekent dat oplichters miljoenen verse adressen in handen hebben. Verwacht mailtjes die lijken te komen van Suno, Stripe of je bank: "bevestig je betaling", "je account is geblokkeerd". Klik nergens op. Ga zelf naar de site door het adres in te typen.
- Let op je kaart. De laatste vier cijfers, de vervaldatum en het kaarttype liggen op straat. Daar kan niemand mee betalen, maar een oplichter kan er wel een mail mee bouwen die klopt: "we zagen een verdachte betaling op je kaart eindigend op 1234". Trap daar niet in. Twijfel je of een echte afschrijving klopt? Bel je bank en laat de kaart desnoods vervangen.
- Vervang hergebruikte wachtwoorden. Gebruikte je bij Suno een wachtwoord dat je ergens anders ook gebruikt? Verander het overal waar het nog staat. Eén uniek wachtwoord per site, het liefst via een wachtwoordmanager, scheelt je bij het volgende lek een hoop gedoe.
De broncode lekte ook, en dat is een eigen verhaal
Bij het lek kwam niet alleen gebruikersdata naar buiten, maar ook de broncode van Suno. En daarin stond hoe het bedrijf zijn AI trainde. Volgens meerdere beveiligingssites wijst de code erop dat Suno muziek en teksten binnenhaalde van onder andere YouTube Music, Deezer en Genius, plus stockmuziekbibliotheken en podcasts via RSS.
Dat is precies waar platenmaatschappijen als Universal en Sony Suno al voor aanklagen. Voor jou als maker is het vooral een reden om te weten waar je muziek vandaan komt. Een origineel lied dat je zelf opbouwt met eigen namen en details, zonder bekende artiesten of bestaande songteksten, staat juridisch en moreel een stuk steviger. Daar schreef ik eerder over in veilig AI-muziek maken.
Wat je hiervan meeneemt
Een datalek zegt niet automatisch dat een tool slecht is; het overkomt grote namen net zo goed. Wat je er wél uithaalt: geef nooit meer gegevens weg dan een dienst echt nodig heeft, gebruik overal een uniek wachtwoord en wees kritisch op elke mail die je onder druk zet om snel te klikken.
Op MuziekMakenMetAI.nl houden we het bewust klein en Nederlands. We vragen niet om meer dan nodig is om een lied te maken, en wat we bewaren staat in ons privacybeleid. De gouden regel blijft simpel: hoe minder je ergens achterlaat, hoe minder er kan uitlekken. Wil je zien hoeveel dat hier is, open de Studio en kijk wat er bij het maken gevraagd wordt.
Veelgestelde vraag
Hoe weet ik of mijn gegevens erbij zaten?
Vul je mailadres in op Have I Been Pwned. Staat het lek erbij, verander dan meteen je wachtwoord daar en overal waar je datzelfde wachtwoord gebruikte. Dat laatste wordt vaak vergeten en is precies waar misbruik begint.
Kan ik nu nog veilig AI-muziek maken?
Ja. Een datalek gaat over de gegevens die je bij een dienst achterlaat, niet over de muziek zelf. Maak een account met een uniek wachtwoord, zet tweestapsverificatie aan waar het kan, en geef geen gegevens die niet nodig zijn om een liedje te maken.