Un ingeniero de software descubrió que AliExpress emplea una señal de audio que el usuario no percibe para crear una huella digital del navegador. Matthew Callaghan, hacker de hardware, notó que al abrir la tienda en Firefox o Chrome el audio de su teléfono desaparecía de los auriculares Bluetooth multipunto, aunque la página no mostraba ningún contenido multimedia. El fenómeno se resolvía al cerrar la pestaña, lo que lo llevó a investigar el origen del problema.
Al analizar la API Web Audio, Callaghan encontró dos scripts, collina.js y fireyejs.js, que generaban una onda de sierra a volumen cero. Estos scripts medían cómo el navegador procesaba la señal y enviaban los resultados a la salida de audio. La técnica forma parte de un proceso de “fingerprinting”, que combina datos del hardware, pantalla, GPU, APIs y otras variables para distinguir un dispositivo entre millones.
Además del audio, los mismos scripts recopilan información del renderizado de Canvas, datos de WebGL, dimensiones de pantalla, memoria disponible, formatos multimedia compatibles, comportamiento de WebRTC y eventos de interacción. Según el investigador, ambos scripts aparecen bajo el dominio de AWS y parecen pertenecer a herramientas de seguridad y anti‑abuso de Alibaba, propietaria de AliExpress. La política de privacidad del sitio menciona la recolección automática de datos técnicos, aunque no detalla este método específico.
La efectividad del audio como señal distintiva ha disminuido. Desde Firefox 118, lanzado en 2023, Mozilla normaliza los resultados de WebAudio, reduciendo la variabilidad a tres valores en más del 99% de los casos. Chrome también incorpora contramedidas similares, lo que hace que la técnica sea menos útil en navegadores modernos.
En Europa, la práctica no está exenta de regulación. El Comité Europeo de Protección de Datos (EDPB) la ha incluido dentro del ámbito de ePrivacy, y la AEPD española lleva años evaluando su impacto en la privacidad del usuario. Sin embargo, no se ha comprobado que AliExpress haya infringido normas locales, y la empresa no ha comentado públicamente sobre el hallazgo.
Lo que aún se desconoce es el destino de los datos recopilados. Podrían servir para identificar dispositivos, detectar bots o prevenir fraudes, pero no hay evidencia de que se vinculen a identidades reales o se compartan con otros servicios de Alibaba. The Register solicitó comentarios a la compañía sin recibir respuesta hasta el momento.
Fuente: xataka