Suno 5,528 萬用戶資料外洩：八個月後先曝光，即刻檢查電郵同卡數
完整卡號同密碼未見外洩，但地址、電話同消費紀錄已足夠俾騙徒度身訂造釣魚訊息。
事故過咗八個月先見光
AI 音樂平台 Suno 嘅保安事故發生喺 2025 年 11 月，去到 2026 年 7 月，黑客將資料交畀傳媒調查，件事先曝光。Have I Been Pwned（HIBP）其後取得外洩資料集，喺 7 月 20 日收錄 55,282,226 個獨立電郵地址。即係新聞講嘅 5,528 萬，係受影響電郵數量，唔代表每個人都有地址同信用卡資料一齊流出。
TechCrunch 報道指，截至 7 月 21 日，Suno 冇喺自己網站正式公布事故，亦冇通知資料俾人偷走嘅用戶。Suno 就向 Pitchfork 表示，事故當時好快受控，主要涉及已經停用嘅舊版源碼，公司調查後認為冇敏感個人資料受影響。呢個講法同 HIBP 列出嘅電郵、電話、姓名、地址同購買紀錄有明顯落差，Suno 暫時亦冇解釋點樣界定「敏感」。
圖片：Suno
外洩咗咩，要分兩批睇
最大嗰批資料包含超過 5,500 萬個電郵地址；如果用戶曾經用電話號碼註冊，電話亦可能喺入面。另一批數量細好多，係數萬筆同 Stripe 購買有關嘅紀錄，欄位包括姓名、實體地址、消費金額、卡種、到期日同末四位。報道冇話全部 5,528 萬個帳戶都有呢堆詳細資料，兩組數字唔可以撈埋講。
同樣要講清楚：暫時冇證據顯示完整信用卡號、CVC 或密碼外洩。Suno 話公司本身睇唔到 Stripe 入面嘅完整卡號，HIBP 列出嘅外洩欄位亦冇密碼。呢點唔代表風險細，因為姓名、電話、地址、消費金額、卡到期日同末四位拼埋，已經可以令假冒 Suno、Stripe 或銀行嘅訊息像真好多。
用過 Suno，而家做三樣嘢
第一，直接去 haveibeenpwned.com，逐個輸入你曾經用嚟開 Suno 帳戶嘅電郵，睇結果有冇列出 Suno。網址最好自己打，唔好撳任何聲稱幫你檢查外洩嘅電郵或短訊連結。就算查到中招，亦只代表個電郵喺資料集入面；HIBP 唔會話畀你知實際流出咗邊筆地址或卡資料。
第二，之後收到提及 Suno 訂閱、退款、付款失敗或帳戶驗證嘅電郵、WhatsApp、短訊同電話，都要多望兩眼。對方講得出你嘅姓名、地址、卡末四位甚至消費金額，唔代表佢真係 Suno 或銀行職員。唔好交密碼、一次性驗證碼或完整卡資料，有問題就自己開官方網站、app，或者打卡背面嘅銀行電話核實。
第三，曾經直接喺 Suno 網站畀錢嘅用戶，應該開啟交易提示，同埋翻查近期信用卡紀錄。完整卡號未見外洩，如果暫時冇異常交易，未必需要即刻換卡。；一見到唔認得嘅交易，就聯絡發卡銀行處理。密碼雖然唔喺已知外洩欄位，但如果 Suno 同其他服務共用同一個密碼，趁機換成獨立密碼會穩陣啲。
香港影響暫時未有數字
Suno 係全球網上服務，香港帳戶同樣有可能喺資料集入面，不過暫時冇香港受影響人數，亦搵唔到私隱專員公署針對今次事故嘅公開回應。之後要留意 Suno 幾時逐一通知用戶、會唔會交代各地受影響數字，亦要解釋點解公司 2025 年 11 月已經知道出事，用戶事隔八個月仍然要靠外部資料庫先收到風聲。
參考來源
- TechCrunch — AI music generator Suno breach affects 55M users, per Have I Been Pwned — original report
- Have I Been Pwned：Suno Data Breach — 確認 5,528 萬個受影響電郵、事件時間、Stripe 紀錄數量同外洩欄位。
- Have I Been Pwned 電郵檢查頁 — 用戶可直接檢查自己嘅電郵有冇出現喺 Suno 或其他已知外洩資料。
- Suno Got Hacked — 刊出 Suno 對事故嘅回應，包括舊版源碼、敏感資料同完整信用卡號嘅說法。
- 私隱專員公署：資料外洩事故保安建議 — 提供提防可疑來電、短訊、電郵、釣魚連結同異常登入嘅官方建議。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
