Tekoälymusiikkia tuottava Suno joutui tietomurron kohteeksi marraskuussa 2025.
Asia nousi laajemmin julkisuuteen vasta heinäkuussa 2026, kun tietomurrosta peräisin ollutta aineistoa tuli julki ja Have I Been Pwned lisäsi tapauksen tietokantaansa 20.7.2026.
Have I Been Pwnedin mukaan aineistossa oli noin 55,3 miljoonaa yksilöllistä sähköpostiosoitetta. Lisäksi mukana oli puhelinnumeroita sekä kymmeniätuhansia Stripe-maksutapahtumiin liittyviä tietueita. Näissä tietueissa saattoi olla esimerkiksi asiakkaan nimi, osoite, ostoksen tiedot sekä maksukorttiin liittyviä osittaisia tietoja. (Have I Been Pwned)
Tapauksesta tekee kiinnostavan myös se, että tietomurto tapahtui jo edellisen vuoden puolella.
Käyttäjän näkökulmasta tämä tarkoittaa, että omat tiedot ovat voineet olla ulkopuolisen hallussa kuukausien ajan ennen kuin käyttäjä on saanut asiasta mitään tietoa. Julkisuudessa ei myöskään ole tietoa siitä, että Suno olisi ilmoittanut tapahtuneesta käyttäjille henkilökohtaisesti.
Tietomurto ei aina tule käyttäjän tietoon silloin, kun se tapahtuu.
Koko maksukortin numero ei tiettävästi vuotanut
Sunon mukaan yhtiöllä ei ole pääsyä asiakkaiden täydellisiin maksukorttinumeroihin, koska maksut käsitellään Stripen kautta.
Tämänhetkisten tietojen perusteella aineistossa ei ole ollut kokonaisia maksukorttinumeroita. Mukana on kuitenkin voinut olla kortin tyyppi, voimassaoloaika ja neljä viimeistä numeroa. (Have I Been Pwned)
On hyvä erottaa nämä asiat toisistaan.
Kortin neljällä viimeisellä numerolla ei yleensä voi tehdä maksua. Niitä käytetään kuitenkin monissa palveluissa asiakkaan tai maksutavan tunnistamiseen. Kun viimeiset numerot yhdistetään nimeen, osoitteeseen, sähköpostiin, puhelinnumeroon ja oikeaan ostotapahtumaan, hyökkääjä saa käyttöönsä varsin uskottavan kokonaisuuden.
Kalasteluviestissä voidaan esimerkiksi viitata oikeaan palveluun, oikeaan ostokseen tai käyttäjän oikeaan maksukorttiin.
Viesti voi näyttää tältä:
“Viimeisin Suno-maksusi kortilta, joka päättyy numeroihin 1234, ei onnistunut. Päivitä maksutietosi tästä.”
Pelkkänä viestinä tämä ei välttämättä vaikuta erityisen vakuuttavalta. Jos vastaanottaja kuitenkin tunnistaa palvelun ja korttinsa viimeiset numerot, viestin uskottavuus kasvaa huomattavasti.
Hyökkääjän ei tarvitse tietää kaikkea. Usein riittää, että hän tietää enemmän kuin vastaanottaja odottaa ulkopuolisen tietävän.
Vuotaneiden tietojen arvo syntyy niiden yhdistämisestä
Tietomurroista puhuttaessa huomio kiinnittyy usein salasanoihin ja maksukorttien numeroihin.
Ne ovat tärkeitä tietoja, mutta myös tavallisilta vaikuttavilla henkilötiedoilla voi olla paljon käyttöä.
Sähköpostiosoite kertoo, mihin kalasteluviesti lähetetään. Nimi tekee viestistä henkilökohtaisen. Puhelinnumero mahdollistaa tekstiviestit ja huijauspuhelut. Osoite, ostohistoria ja maksukortin viimeiset numerot lisäävät viestin uskottavuutta.
Tietoja voidaan käyttää myös myöhemmin. Kalasteluviestin ei tarvitse tulla heti tietomurron jälkeen, eikä viestin tarvitse näyttää Sunolta tulleelta.
Hyökkääjä voi esiintyä esimerkiksi maksupalvelun, pankin, korttiyhtiön tai muun tunnetun palvelun edustajana.
Siksi käyttäjän kannattaa suhtautua varauksella viesteihin, joissa pyydetään kirjautumaan, tarkistamaan maksu, päivittämään korttitietoja tai vahvistamaan käyttäjätili. Linkin sijaan palveluun kannattaa siirtyä itse kirjoittamalla sen osoite selaimeen tai avaamalla palvelun oma sovellus.
Älä käytä samaa salasanaa eri palveluissa
Tämänhetkisten tietojen perusteella Sunon vuotaneessa aineistossa ei ole ilmoitettu olleen salasanoja.
Se ei kuitenkaan muuta yhtä tärkeimmistä käyttäjän tietoturvasäännöistä:
Samaa salasanaa ei pidä käyttää useassa palvelussa.
Jos sama salasana on käytössä esimerkiksi Sunossa, sähköpostissa ja Microsoft 365 -tilillä, yhden palvelun tietomurto voi vaarantaa kaikki muutkin tilit. Hyökkääjät kokeilevat vuotaneita käyttäjätunnus- ja salasanayhdistelmiä automaattisesti muihin palveluihin.
Tätä kutsutaan credential stuffing -hyökkäykseksi.
Hyökkääjän ei tarvitse arvata salasanaa tai murtaa sitä teknisesti. Hän kokeilee valmista yhdistelmää eri palveluihin ja katsoo, missä se toimii.
Jokaisessa palvelussa pitäisi siksi olla oma, pitkä ja yksilöllinen salasana. Käytännössä niitä ei tarvitse eikä kannata yrittää muistaa itse.
Hyvä salasanojen hallintaohjelmisto luo vahvat salasanat, tallentaa ne turvallisesti ja täyttää ne oikeassa palvelussa. Monissa salasanojen hallintaohjelmistoissa on myös vuotaneiden tunnusten valvonta. Ohjelmisto voi ilmoittaa, jos käyttämäsi sähköpostiosoite tai salasana löytyy tunnetusta tietovuodosta.
Tämä ei estä tietomurtoa palveluntarjoajan järjestelmässä, mutta auttaa reagoimaan nopeammin ja estää yhden vuodon leviämisen muihin käyttäjätileihin.
Monivaiheinen tunnistautuminen kannattaa ottaa käyttöön aina, kun palvelu sen mahdollistaa.
Tietomurron mukana saatiin myös Sunon lähdekoodia
Tietomurrossa ei saatu ainoastaan käyttäjiin liittyviä tietoja.
Julkisuudessa olleiden tietojen mukaan hyökkääjä pääsi käsiksi myös Sunon lähdekoodiin ja sisäiseen aineistoon. Suno on kertonut, että tapahtuma koski pääasiassa vanhentunutta lähdekoodia, joka ei enää ollut yhtiön käytössä. (The Verge)
Vanhan lähdekoodin merkitystä ei voi arvioida luotettavasti pelkän julkisen aineiston perusteella.
Vanha koodi ei välttämättä vastaa nykyistä tuotantoympäristöä. Se voi silti auttaa hyökkääjää ymmärtämään, miten palvelua on rakennettu, millaisia teknologioita siinä on käytetty ja millaisia toimintatapoja kehityksessä on ollut.
Lähdekoodissa voi myös olla viittauksia rajapintoihin, pilvipalveluihin, tietokantoihin, kehitysympäristöihin tai muihin sisäisiin rakenteisiin. Siksi lähdekoodin päätymistä ulkopuolisille ei yleensä voi pitää merkityksettömänä vain sillä perusteella, että koodi on vanhaa.
Sunon tapauksessa lähdekoodista tehty julkinen keskustelu on keskittynyt pitkälti siihen, mitä se mahdollisesti kertoo tekoälymallien koulutuksessa käytetystä aineistosta. Tietoturvan kannalta oleellinen havainto on kuitenkin yksinkertaisempi: hyökkääjä pääsi käyttäjätietojen lisäksi yrityksen sisäiseen tekniseen aineistoon.
Uuden palvelun suosio ei kerro sen tietoturvan tasosta
Uusia tekoälypalveluita syntyy nopeasti.
Palvelu voi kerätä miljoonia käyttäjiä lyhyessä ajassa. Samalla sen järjestelmiä, prosesseja ja tietoturvaa rakennetaan jatkuvasti uudelleen. Käyttäjän on usein mahdotonta tietää, kuinka hyvin palveluntarjoaja on valmistautunut tietomurtoihin tai kuinka nopeasti se ilmoittaa käyttäjille tapahtuneesta.
Tunnettu nimi, näyttävä verkkosivu tai suuri käyttäjämäärä eivät ole todiste tietoturvan tasosta.
Tekoäly nopeuttaa myös haavoittuvuuksien etsimistä ja teknisen aineiston analysointia. Se ei tarkoita, että jokainen hyökkäys tapahtuisi tekoälyn avulla, mutta hyökkääjät pystyvät käsittelemään entistä suurempia määriä palveluita, lähdekoodia ja varastettua tietoa nopeasti.
Käyttäjän oma harkinta korostuu.
Ennen uuden palvelun käyttöönottoa kannattaa miettiä ainakin, mitä tietoja palvelulle annetaan, onko palvelussa pakko käyttää oikeaa puhelinnumeroa, tarvitseeko sinne tallentaa maksukortti ja voiko palveluun syötetty aineisto sisältää asiakkaiden tai työnantajan luottamuksellisia tietoja.
Kaikkea kiinnostavaa palvelua ei tarvitse välttää. Palvelua kannattaa kuitenkin käyttää sillä oletuksella, että sinne tallennettu tieto voi joskus päätyä myös muualle.
Yrityksessä tekoälypalveluiden käyttöä pitää johtaa
Yrityksissä asia ei voi jäädä pelkästään työntekijän oman harkinnan varaan.
Organisaation pitäisi tietää, millaisia tekoäly- ja pilvipalveluita työssä käytetään, mitä tietoa niihin syötetään ja millä käyttäjätunnuksilla niihin kirjaudutaan.
Samalla pitäisi sopia käytännöt ainakin seuraavista asioista:
- Saako palveluun syöttää asiakastietoja, henkilötietoja tai sopimuksiin liittyvää aineistoa?
- Käytetäänkö palvelua henkilökohtaisella vai yrityksen hallinnoimalla käyttäjätilillä?
- Miten käyttöoikeus poistetaan, kun työntekijä vaihtaa tehtävää tai lähtee yrityksestä?
- Kuka seuraa palveluun liittyviä tietoturvauutisia ja tietomurtoja?
- Miten toimitaan, jos käytössä ollut palvelu joutuu tietomurron kohteeksi?
Teknisten estojen lisäksi tarvitaan selkeät ohjeet. Työntekijän pitää tietää, mitä palveluissa saa tehdä ja mitä tietoja niihin ei saa viedä.
Mitä Sunon käyttäjän kannattaa tehdä nyt?
Sunon käyttäjän kannattaa tarkistaa, millä sähköpostiosoitteella tai puhelinnumerolla palveluun on rekisteröitynyt.
Sähköpostiosoitteen voi tarkistaa Have I Been Pwned -palvelusta. Oman sähköpostin, puhelimen ja maksutilien tapahtumia kannattaa seurata tavallista tarkemmin.
Salasana kannattaa vaihtaa viimeistään silloin, jos samaa salasanaa on käytetty muualla. Kaikki muut samaa salasanaa käyttävät tilit pitää vaihtaa samalla. Jatkossa jokaisessa palvelussa kannattaa käyttää yksilöllistä salasanaa ja salasanojen hallintaohjelmistoa.
Sähköpostiin, tekstiviesteihin ja puheluihin kannattaa suhtautua tavallista tarkemmin etenkin silloin, jos niissä viitataan Sunoon, Stripeen, tilaukseen, maksuun tai maksukorttiin.
Maksukortin sulkemiseen ei tämänhetkisten tietojen perusteella ole automaattisesti aihetta pelkästään siksi, että kortin viimeiset numerot ovat mahdollisesti olleet aineistossa. Korttitapahtumia pitää kuitenkin seurata, ja epäselvistä veloituksista kannattaa olla yhteydessä omaan pankkiin tai kortin myöntäjään.
Tietoturva ei pääty palvelun käyttöönottoon
Sunon tapaus muistuttaa siitä, että palveluntarjoajan tietoturva ei ole käyttäjän hallinnassa.
Käyttäjä voi kuitenkin vaikuttaa siihen, kuinka vakaviksi yhden palvelun ongelmat omalla kohdalla muodostuvat.
Yksilölliset salasanat, salasanojen hallintaohjelmisto, monivaiheinen tunnistautuminen ja harkinta palveluun annettavien tietojen suhteen vähentävät vahinkoja merkittävästi.
Yrityksessä näiden asioiden pitää olla sovittuja käytäntöjä, ei yksittäisten työntekijöiden omia ratkaisuja.
MR Datalla autamme pk-yrityksiä tunnistamaan käytössä olevat palvelut, sopimaan tekoälypalveluiden turvallisesta käytöstä ja rakentamaan käytännöt, joiden avulla tietoturva pysyy mukana myös silloin, kun uusia työkaluja otetaan nopeasti käyttöön.
Jos tekoälypalveluiden käyttö ja niihin liittyvät käytännöt ovat vielä epäselviä, voimme auttaa kartoittamaan tilanteen ja sopimaan selkeät toimintatavat.
