Un ingeniero de software descubrió que el gigante chino del e‑commerce emplea ondas de audio que el usuario no percibe para recopilar datos del navegador. Matthew Callaghan, especializado en hardware hacking, notó que al abrir AliExpress en Firefox o Chrome sus auriculares Bluetooth dejaban de reproducir el audio del móvil. El problema desaparecía al cerrar la pestaña, aun cuando no había videos ni música en la página.
Al inspeccionar la API Web Audio, Callaghan encontró dos scripts, collina.js y fireyejs.js, que generaban una onda de sierra de frecuencia alta con ganancia a cero. Estos sonidos inaudibles servían para medir cómo el navegador procesaba la señal, creando una “huella” única del dispositivo. La técnica se suma al fingerprinting tradicional, que combina datos como resolución de pantalla, GPU, memoria y comportamiento de APIs para distinguir un equipo entre millones.
Los mismos scripts no se limitaban al audio. También consultaban el renderizado de Canvas, información de WebGL, dimensiones de pantalla, capacidad de WebRTC, tiempos de carga y eventos de interacción. Según el investigador, ambos archivos pertenecen a la infraestructura de seguridad y anti‑abuso de Alibaba, propietaria de AliExpress, y su política de privacidad menciona la recolección automática de datos técnicos sin detallar este método.
Sin embargo, la efectividad del audio como vector de fingerprinting ha disminuido. Desde la versión 118 de Firefox, lanzada en 2023, Mozilla homogeneiza los resultados de Web Audio, concentrando el 99,24% de las mediciones en tres valores, lo que dificulta diferenciar navegadores. Chrome, por su parte, ya incorpora bibliotecas que neutralizan esta táctica.
En Europa, la práctica no pasa desapercibida. El Comité Europeo de Protección de Datos (EDPB) ha incluido el fingerprinting dentro del marco de la ePrivacy, y la AEPD en España lleva años investigando su impacto en la privacidad de los usuarios. Aún así, no se ha demostrado que AliExpress haya infringido la normativa, ni se conoce la escala ni la ubicación geográfica de este rastreo.
Lo que sigue sin esclarecer es el destino de la información recopilada. Callaghan admite que no tiene acceso a los servidores de la compañía, por lo que desconoce si los datos se usan para detectar fraudes, bloquear bots o vincularse a perfiles de usuarios. Alibaba no ha respondido a los pedidos de comentario de The Register, dejando abierta la cuestión sobre la transparencia y el futuro de estas técnicas invisibles.
Fuente: Xataka