AI-liedjesgenerator Suno werd in november 2025 getroffen door een datalek waarbij de e-mailadressen en persoonlijke gegevens van meer dan 55 miljoen gebruikers werden blootgesteld, maar het bedrijf heeft hen nooit ingelicht. Het uitblijven van die melding is het echte verhaal hier, niet alleen het lek zelf. Maanden na het incident kwamen getroffen gebruikers er alleen via externe datalekregistraties achter, niet via Suno.

Dit soort stilte komt vaker voor dan de meeste mensen denken, en het betekent dat je er niet op kunt rekenen dat een bedrijf je vertelt wanneer je gegevens zijn gecompromitteerd. Begrijpen wat er bij Suno is gebeurd en weten hoe je zelf je blootstelling kunt controleren, is de enige betrouwbare manier om jezelf te beschermen wanneer een bedrijf besluit niets te melden.

Wat er gebeurde bij het datalek van Suno

In november 2025 drongen hackers de systemen van Suno binnen en gingen ze ervandoor met een dataset van meer dan 55 miljoen gebruikersaccounts. De blootgestelde informatie omvatte naar verluidt e-mailadressen en, afhankelijk van het account, extra gegevens die aan gebruikersprofielen en activiteit op het platform waren gekoppeld. Naast de gestolen gebruikersgegevens lekte er ook broncode uit die liet zien hoe Suno's systemen met data-scraping omgingen, een detail dat een technische dimensie aan het incident toevoegde, zoals eerder gemeld over de gelekte scraping-code die aan het lek is gekoppeld.

De omvang van het lek – meer dan 55 miljoen getroffen accounts – maakt het een van de grootste consumentendatalekken die tot nu toe aan een AI-product zijn gekoppeld. Suno, waarmee gebruikers originele liedjes kunnen genereren uit tekstprompts, heeft snel een grote gebruikersbasis opgebouwd, en diezelfde gebruikersbasis kampt nu met de gevolgen van een lek waarvan ze niet wisten dat het had plaatsgevonden tot het publiekelijk aan het licht kwam.

Waarom Suno getroffen gebruikers niet heeft ingelicht

Het lek vond plaats in november 2025, maar werd pas maanden later breed bekend toen het incident werd toegevoegd aan een openbare datalekmeldingsdatabase. In de periode tussen het lek en de openbaarmaking heeft Suno naar verluidt geen meldingen gestuurd naar de miljoenen gebruikers van wie de e-mailadressen en accountgegevens waren blootgesteld.

Dit maakt de zaak Suno tot een nuttige casestudy en niet zomaar een nieuwe lekkenkop. De wetten voor datalekmelding verschillen per rechtsgebied en handhavingstekorten zorgen ervoor dat bedrijven soms nauwelijks directe druk voelen om gebruikers snel – of überhaupt – te informeren, vooral wanneer de blootgestelde gegevens geen financiële rekeningnummers of wachtwoorden in platte tekst bevatten. Voor gewone gebruikers blijft het praktische resultaat hetzelfde, juridische nuances ten spijt: jouw informatie kan maandenlang in een dataset van hackers staan terwijl jij van niets weet.

Het lek kwam pas aan het licht via Have I Been Pwned, de veelgebruikte datalekmeldingsdienst die het Suno-incident onafhankelijk aan zijn doorzoekbare database toevoegde nadat de omvang van de blootstelling duidelijk werd, zoals beschreven in de berichtgeving over Have I Been Pwned die de 55 miljoen Suno-accounts aan de database toevoegde. Zonder die externe dienst zouden veel getroffen gebruikers mogelijk nog steeds niet weten dat hun gegevens onderdeel van het lek waren.

Hoe je kunt controleren of jouw e-mail is blootgesteld

Omdat Suno zijn gebruikersbestand niet proactief heeft ingelicht, is het zelf controleren van jouw blootstelling de enige manier om zeker te weten of je getroffen bent. Have I Been Pwned heeft een speciale vermelding voor het Suno-lek waarin je kunt zoeken met het e-mailadres dat je hebt gebruikt om je aan te melden voor de dienst. Als jouw adres in de resultaten verschijnt, bevestigt dit dat jouw gegevens deel uitmaken van de blootgestelde dataset.

Het is de moeite waard om elk e-mailadres te controleren dat je ooit voor een Suno-account hebt gebruikt, ook oude adressen die gekoppeld zijn aan accounts die je misschien vergeten of niet meer in gebruik hebt. AI-tools hebben de afgelopen jaren razendsnel gebruikersbases opgebouwd en het is gemakkelijk om uit het oog te verliezen welke diensten nog steeds jouw gegevens bewaren.

Stappen om je account en inbox in de toekomst te beschermen

Als je je e-mail in het lek aantreft, is de eerste prioriteit je inbox. Blootgestelde e-mailadressen worden vaak gebruikt voor gerichte phishingpogingen, omdat aanvallers weten dat de adressen aan een specifieke dienst zijn gekoppeld en overtuigende nepmails kunnen opstellen die naar Suno verwijzen. Wees voorzichtig met elke e-mail die beweert van Suno te zijn en je vraagt op een link te klikken, je wachtwoord opnieuw in te stellen of accountgegevens te bevestigen, vooral als die maanden na dit nieuws onverwacht binnenkomt.

Wijzig je Suno-wachtwoord als je dat nog niet hebt gedaan en zorg ervoor dat je datzelfde wachtwoord niet hergebruikt op andere accounts. Als dat wel het geval is, werk die accounts dan ook bij, want credential stuffing-aanvallen maken gebruik van het feit dat mensen wachtwoorden herhalen over verschillende diensten. Multi-factor authenticatie inschakelen waar die beschikbaar is, voegt een betekenisvolle beschermingslaag toe, zelfs als een wachtwoord later wordt gecompromitteerd.

Het is ook verstandig om periodiek Have I Been Pwned of soortgelijke diensten te controleren voor elk e-mailadres dat je regelmatig gebruikt, niet alleen naar aanleiding van één lek. Die gewoonte zorgt ervoor dat je toekomstige incidenten sneller opmerkt, ongeacht of het betreffende bedrijf ervoor kiest jou te informeren.

Wat dit voor jou betekent

Het Suno-incident is een herinnering dat een datalekmelding, als die al plaatsvindt, vaak gebeurt op de tijdlijn van het bedrijf in plaats van die van jou. Wachten op een e-mail die mogelijk nooit komt, is geen strategie. Zelf je blootstelling controleren en actie ondernemen op wat je aantreft, is de enige aanpak die jou weer de controle geeft.

Dit gaat verder dan alleen Suno. Elk account dat gekoppeld is aan een e-mailadres dat je al jaren gebruikt, bij tientallen diensten, zou op dit moment zonder jouw medeweten in een soortgelijke dataset kunnen staan. Het falen van de datalekmelding bij Suno is geen op zichzelf staand geval van bedrijfsmatig nalaten; het is een patroon dat in de hele sector opduikt wanneer bedrijven juridische verplichtingen afwegen tegen reputatierisico.

Belangrijkste punten

Controleer of jouw e-mailadres voorkomt in het Suno-lek via de database van Have I Been Pwned, en doe hetzelfde voor andere diensten die je regelmatig gebruikt. Werk je Suno-wachtwoord bij en vermijd hergebruik ervan elders, schakel multi-factor authenticatie in waar mogelijk en blijf alert op phishingpogingen die naar het lek verwijzen. Wacht bovenal niet op een meldingsmail die mogelijk nooit komt. Proactief controleren is inmiddels een basisonderdeel van het beschermen van je digitale identiteit, en de zaak Suno is een duidelijk voorbeeld van waarom die gewoonte telt.