AliExpress ha sido descubierta utilizando técnicas de fingerprinting (huella digital) que llegan incluso a hacer uso del sistema de audio del dispositivo para obtener información con la que caracterizar a sus usuarios. Antes que nada, esto no significa que cuando abrieras su web o aplicación la tienda estuviera activando el micrófono ni grabando conversaciones. El mecanismo detectado genera internamente una señal de audio que nunca llega a escucharse, analiza cómo la procesa el navegador y utiliza el resultado como una de las numerosas variables con las que puede construirse una huella digital del dispositivo.
Brave, el conocido navegador ligado a mejorar la privacidad, ha dado promovido la visibilidad del caso asegurando que este tipo de técnicas permiten identificar y seguir a un usuario incluso sin recurrir a cookies. Esto se consigue al combinar pequeñas diferencias del hardware y del navegador hasta obtener un perfil suficientemente distintivo. Lo curioso es que todo este tema salió a la luz prácticamente por accidente.
AliExpress genera una señal de audio silenciosa y analiza cómo responde el dispositivo
Fue el desarrollador responsable del blog Laserphile quien comenzó a investigar por qué sus auriculares Bluetooth multipunto dejaban de reproducir el audio del móvil cada vez que abría AliExpress desde Firefox o Chrome. Cerrar la pestaña solucionaba inmediatamente el problema, pero silenciar la pestaña, Firefox o incluso Windows no servía para nada. No había vídeos, música ni anuncios reproduciéndose en segundo plano. Es por ello que decidió analizar directamente la actividad de la API Web Audio. Fue entonces cuando encontró dos contextos de audio ocultos generados por scripts de Alibaba, una actividad que además coincide con un problema de AliExpress registrado en Bugzilla de Mozilla desde hace aproximadamente dos años.
La investigación reveló que AliExpress crea dos objetos AudioContext independientes mediante los scripts collina.js y fireyejs.js. Ambos se encuentran alojados dentro de la infraestructura de Alibaba bajo el directorio AWSC. Los dos contextos entran en estado activo aunque la página no contenga ningún elemento de audio o vídeo, no se realice ninguna llamada convencional a reproducción y no exista una sesión multimedia activa. Técnicamente, los scripts generan una onda de diente de sierra mediante un oscilador, la pasan por un AnalyserNode y un ScriptProcessorNode y terminan conectándola a un GainNode configurado con volumen cero antes de enviarla a AudioContext.destination. El usuario no escucha absolutamente nada, pero el navegador sí realiza todo el procesamiento de audio necesario.
Ese procesamiento permite crear una huella de audio del dispositivo. Y es que una misma señal puede arrojar pequeñas diferencias según la CPU, arquitectura, sistema operativo o navegador. AliExpress podía medir esas variaciones mediante WebAudio y combinarlas con otros datos para distinguir equipos. Precisamente este mecanismo fue descubierto porque, aunque el sonido tenía volumen cero, el flujo de audio seguía activo: los auriculares Bluetooth multipunto del investigador interpretaban que el PC continuaba reproduciendo sonido y no devolvían correctamente el control al teléfono. Mozilla ya había registrado un comportamiento similar en AliExpress, capaz incluso de mantener ocupado el dispositivo de audio e impedir la suspensión automática de Windows 11, algo que sus desarrolladores ya relacionaban con posibles técnicas de fingerprinting.
El audio es solo una parte de una huella digital mucho más completa recopilada por Alibaba
El análisis de collina.js y fireyejs.js muestra que AliExpress no se limita al subsistema de sonido. Los scripts contienen código destinado a obtener información mediante Canvas y WebGL. Esto permite conocer el renderer gráfico y sus extensiones, medir la precisión de shaders, consultar resolución de pantalla y tamaño de la ventana, densidad de píxeles, número de hilos de la CPU, memoria RAM disponible, plugins instalados, formatos multimedia compatibles, WebRTC y tiempos de rendimiento del navegador. También se observan datos relacionados con el movimiento del ratón, eventos táctiles, scroll, foco de la ventana, movimiento y orientación del dispositivo, y propiedades empleadas habitualmente para detectar navegadores automatizados.
Básicamente, con toda esta información se puede construir una huella digital mucho más robusta que la proporcionada únicamente por WebAudio. A ello se le suma que, desde el navegador web, se puede comprobar que Alibaba recopila y transmite estas características, pero no es posible determinar qué hace exactamente con ellas una vez llegan a sus servidores. El propio descubridor plantea que podrían utilizarse como identificador persistente, pero también como parte de un sistema antifraude o de detección de bots.
AliExpress tiene razones evidentes para distinguir compradores normales de sistemas automatizados. Con ello reduce el scraping, fraude de pagos, cuentas falsas, apropiación de cuentas, abuso de promociones o manipulación de reseñas. Por ello, no puede afirmarse con las pruebas disponibles que toda esta infraestructura esté dedicada exclusivamente al seguimiento publicitario, aunque técnicamente las características recopiladas permiten crear una huella del dispositivo mucho más resistente que una cookie convencional. Los navegadores centrados en privacidad intentan precisamente reducir el valor de estos datos. Firefox o Brave recurren a técnicas que alteran estos resultados. Mientras que bloqueadores como uBlock Origin evita que AliExpress cree estos audios.
La entrada Descubren a AliExpress usando el audio de los usuarios para rastrear sus dispositivos aparece primero en El Chapuzas Informático.
