AI 음악 생성 서비스 Suno에서 대규모 개인정보 유출 정황이 드러났다. 데이터 유출 알림 서비스 Have I Been Pwned가 확보한 자료를 토대로 한 보도에 따르면, 이번 사고의 영향을 받은 이용자는 5천530만 명을 넘는 것으로 파악됐다. 생성형 AI 서비스가 빠르게 대중화되는 가운데, 학습 데이터 논란뿐 아니라 이용자 정보 보호 체계까지 동시에 시험대에 오른 모습이다.
보도에 따르면 유출된 자료에는 이름, 실제 주소, 이메일 주소, 전화번호, 구매 기록 등이 포함됐다. 결제 처리 계정과 연결된 일부 카드 정보도 노출된 것으로 전해졌으며, 카드 번호 일부와 만료일 정보가 포함됐다는 점에서 후속 피싱이나 사칭 피해 우려가 제기된다. 전체 카드 번호나 인증 정보가 공개됐는지는 기사에서 확인되지 않았지만, 공격자가 여러 정보를 조합할 경우 피해 가능성은 커진다.
뒤늦게 드러난 2025년 공격
이번 침해는 2025년 11월 발생한 것으로 알려졌다. 그러나 사고 규모는 최근 독립 매체 보도와 Have I Been Pwned의 데이터 확인을 통해 구체적으로 알려졌다. Suno가 해당 공격을 공개적으로 알리거나 영향을 받은 개인에게 통지했는지는 확인되지 않았다고 TechCrunch는 전했다.
기업의 침해 사고 대응에서 공개 시점은 핵심 쟁점이다. 이용자가 자신의 계정, 결제 수단, 연락처를 점검하려면 어떤 정보가 언제 노출됐는지 알아야 한다. 특히 이메일, 전화번호, 주소처럼 바꾸기 어렵거나 일상적으로 쓰이는 정보는 유출 이후 장기간 악용될 수 있어 신속한 통지가 중요하다.
소스코드와 학습 데이터 논란도 함께 부상
이번 유출 자료에는 Suno의 소스코드도 포함된 것으로 전해졌다. 보도는 이 코드가 회사가 AI 모델 학습을 위해 스트리밍 서비스와 가사 사이트에서 대량의 음악과 가사를 수집했다는 의혹을 보여준다고 설명했다. 언급된 서비스에는 Deezer, Genius, YouTube 등이 포함됐다.
Suno는 이미 주요 음반사들로부터 저작권 침해 소송을 받고 있다. 음반사들은 대량 수집 방식이 저작권법을 위반한다고 주장해 왔다. 여기에 침해 사고로 내부 코드와 이용자 정보가 함께 노출됐다는 의혹이 더해지면서, AI 기업의 성장 방식과 내부 통제 수준에 대한 압박은 더 커질 가능성이 있다.
AI 서비스 이용자에게 남는 과제
이번 사례는 생성형 AI 서비스 이용자가 단순히 결과물의 품질만 볼 수 없다는 점을 보여준다. 계정 가입, 결제, 콘텐츠 생성 과정에서 남는 데이터가 어떤 방식으로 저장되고 보호되는지도 중요한 선택 기준이 됐다. 이용자는 같은 비밀번호를 여러 서비스에 쓰지 말고, 결제 내역과 의심스러운 연락을 점검할 필요가 있다.
기업 입장에서는 보안 사고 자체보다 사고 이후의 투명성이 신뢰를 좌우한다. 침해 사실, 영향 범위, 노출 항목, 이용자 조치 방법을 분명히 설명해야 피해 확산을 줄일 수 있다. 생성형 AI 시장이 커질수록 모델 학습 데이터의 적법성, 고객 정보 보호, 사고 통지 체계는 하나의 묶음으로 평가받게 될 전망이다.
댓글