수노 정보유출 5500만 명, 8개월간 숨겼다

AI 작곡 서비스 수노 정보유출 사고로 5530만 명(Suno 이용자)의 개인정보가 새어나간 사실이 지난주 뒤늦게 드러났습니다. 해킹 자체는 2025년 11월에 일어났는데, 회사는 이 사실을 8개월 가까이 알리지 않다가 보안 서비스 ‘해브 아이 빈 폰드(Have I Been Pwned)’를 통해 먼저 외부에 공개됐습니다. 이름, 이메일 주소, 실거주지 주소, 전화번호, 구매 내역, 카드 정보 일부(카드 종류·유효기간·뒷 4자리)가 새어나간 것으로 확인됐습니다.

무슨 일이 있었나

수노는 텍스트만 입력하면 AI가 노래를 작곡해주는, 기업가치 54억 달러(약 7조 5000억원)를 인정받은 미국의 대표적인 생성형 AI 스타트업입니다. 보안 연구자에 따르면 공격자는 2025년 11월 npm 생태계를 휩쓴 자기복제형 공급망 공격 ‘샤이훌루드(Shai-Hulud) 2.0’ 웜으로 수노 직원 한 명의 깃허브(GitHub)·클라우드 인증 정보를 탈취했고, 이를 발판 삼아 소스코드와 고객 명단, 결제 시스템(Stripe) 데이터에 접근했습니다.

유출 데이터에는 5530만 개의 고유 이메일 주소와 수만 건의 결제 기록이 포함됐습니다. 유출된 소스코드에는 수노가 AI 학습용으로 유튜브 뮤직·디저(Deezer)·지니어스(Genius) 등에서 곡과 가사를 수집해온 방식도 담겨 있어 저작권 침해 논란까지 함께 불거졌습니다.

왜 지금 다시 주목해야 하나 — ‘늑장 공개’가 진짜 문제

이 사고가 새삼 화제가 되는 이유는 해킹 자체보다 회사의 대응 방식에 있습니다. 사고는 2025년 11월에 발생했지만 수노는 아무 통보도, 공식 발표도 하지 않았습니다. 이 사실은 트로이 헌트(Troy Hunt)가 운영하는 ‘해브 아이 빈 폰드’가 지난 7월 21일 유출 데이터를 확인해 등록하면서 세상에 알려졌습니다.

취재에 수노 측은 “제한적인 보안 사고였고 신속히 통제했다”, “노출된 건 더 이상 쓰지 않는 오래된 소스코드이며 민감한 개인정보는 유출되지 않았다”고 해명했습니다. 하지만 이 해명은 “카드 전체 번호는 회사가 접근할 수 없다”는 좁은 범위의 부인일 뿐, 실제 보도된 이메일·주소·전화번호·카드 일부 정보 유출 자체는 부정하지 못했습니다. 8개월간 침묵했다는 사실 자체가 이번 사태의 핵심 논란입니다.

내 정보도 포함됐는지 확인하는 법

수노 계정을 만든 적이 있다면 직접 확인할 수 있습니다. 이번 유출은 해외 서비스에서 벌어진 일이라 국내 e프라이버시 클린서비스 대상은 아니며, 대신 전 세계 보안 업계가 표준적으로 쓰는 무료 조회 서비스 해브 아이 빈 폰드(haveibeenpwned.com)로 확인합니다.

1. haveibeenpwned.com에 접속합니다.
2. 검색창에 수노 가입 시 사용한 이메일 주소를 입력합니다.
3. “Suno” 항목이 뜨면 그 이메일이 이번 유출에 포함된 것이며, 어떤 정보(이름·주소·전화번호 등)가 새어나갔는지도 함께 안내됩니다.

이메일 주소 외의 정보는 요구하지 않으며, jettlog.kr도 이 과정에서 개인정보를 수집하지 않습니다.

지금 바로 할 수 있는 조치

• 수노 계정 비밀번호를 바꾸고, 같은 비밀번호를 다른 사이트에도 썼다면 전부 변경합니다.
• 등록된 카드가 있다면 카드사 앱에서 이상 거래 알림을 켜고 거래 내역을 주기적으로 확인합니다.
• 수노 가입 이메일로 오는 “결제 확인”, “계정 잠금” 같은 피싱 메일을 특히 주의합니다. 유출된 이름·주소로 더 정교해진 피싱이 늘 수 있습니다.

자주 묻는 질문

Q. 수노(Suno)가 정확히 어떤 서비스인가요?
키워드만 입력하면 AI가 자동으로 노래를 작곡해주는 미국의 생성형 AI 음악 서비스입니다. 국내에서도 유튜브·SNS 콘텐츠 제작용으로 이용자가 많습니다.

Q. 이번 유출로 정확히 어떤 정보가 새어나갔나요?
이름, 이메일 주소, 실거주지 주소, 전화번호, 구매 내역, 카드 종류·유효기간·뒷 4자리 등입니다. 카드 전체 번호나 CVC는 포함되지 않은 것으로 알려졌습니다.

Q. 왜 8개월 동안 알리지 않은 게 문제인가요?
빨리 알았다면 비밀번호 변경이나 카드 재발급 같은 조치를 훨씬 일찍 취할 수 있었습니다. 통보가 늦어진 만큼 피싱·명의도용에 노출된 기간도 길어졌다는 점이 비판받고 있습니다.

Q. 소스코드 유출은 개인정보 유출과 무슨 관계가 있나요?
직접적 개인정보 유출은 아니지만, AI 학습 데이터를 어떻게 수집했는지가 담겨 있어 저작권 문제로 별도 논란이 커지고 있습니다. 같은 침해 경로(직원 인증정보 탈취)에서 두 문제가 함께 터진 셈입니다.

시사점

이번 사고는 두 가지를 보여줍니다. 개발자 인증정보를 노리는 공급망 공격이 여전히 기업 내부망을 뚫는 가장 흔한 경로라는 점, 그리고 사고를 얼마나 빨리 투명하게 알리는지가 기술적 방어만큼 중요하다는 점입니다. 빠르게 성장하는 AI 스타트업일수록 서비스 확장이 보안 공지보다 앞서는 경우가 많은데, 이번처럼 몇 달씩 침묵하면 신뢰는 한 번에 무너집니다. 해외 AI 서비스는 국내보다 유출 통보가 늦거나 없을 수 있는 만큼, haveibeenpwned 같은 신뢰할 수 있는 조회 서비스로 스스로 점검하는 습관을 들여두는 편이 안전합니다.

Jett Insight는 매일 아침 새로운 IT·보안 소식을 정리해 전해드립니다.

출처

• AI music generator Suno breach affects 55M users, per Have I Been Pwned – TechCrunch
• Suno admits data breach that reportedly leaked 55.3 million users’ data – Music Business Worldwide
• AI music platform Suno hits bum note as 55M users exposed in data breach – The Register
• Hack suggests AI music generator Suno scraped YouTube for training data – TechCrunch
• Have I Been Pwned: Suno Data Breach