O AliExpress teria executado processos de áudio silenciosos em segundo plano no navegador para identificar e rastrear os computadores dos visitantes. A prática foi descoberta após um desenvolvedor perceber um problema na troca de conexão automática de um fone Bluetooh enquanto estava na página do e-commerce.

Segundo o site TechSpot, a plataforma mantém um fluxo de áudio ativo no navegador mesmo com volume zerado, suficiente para manter o sistema de áudio do computador ocupado e interferir na conexão com outro dispositivo.

A técnica é conhecida como fingerprinting (impressão digital) e pode ser usada plataformas como alternativa aos cookies tradicionais para a prevenção de fraudes e identificação de atividades suspeitas. Porém, é contestada por geralmente rodar silenciosamente e coletar dados de uso sem autorização dos usuários, como ocorre com microfones.

Após a exposição do caso, desenvolvedores de navegadores como Brave e Firefox reforçaram nas redes sociais que possuem bloqueadores de scripts de rastreamento como os usados pelo AliExpress.

Conexão de fone gerou suspeitas

O desenvolvedor usava um fone de ouvido Bluetooth com tecnologia multiponto, que permite manter o acessório conectado a dois dispositivos e alternar entre eles. No entanto, ao navegar pelo AliExpress, percebeu que eles continuavam conectados ao computador mesmo quando queria transferir o áudio para o celular, comportamento que desaparecia quando a aba da loja era fechada.

Ao analisar o código-fonte da página inicial do e-commerce para entender o comportamento dos fones, o desenvolvedor constatou que o site utilizava a Web Audio API — recurso padrão dos navegadores — para montar gráficos de processamento de áudio.

O processo era mudo, mas, como o script se conecta à saída de som do sistema operacional, a rota de áudio da máquina permanece ocupada em segundo plano. Essa integração faz com que ferramentas de controle, como a função nativa de mutar aba do navegador, não tenha efeito.

Identificador une sinais diversos do PC

O mecanismo do AliExpress cria um identificador na máquina unindo vários sinais. O site envia um sinal de áudio padrão e mede as diferências na forma como a máquina processa e devolve o som, o que varia de acordo com componentes como processador, placa de áudio, drivers de som e versão do navegador.

A coleta, segundo o TechSpot, reúne também métricas que permitem montar um perfil altamente detalhado de cada máquina, como:

• WebGL;
• comportamento de conexões WebRTC;
• resolução do monitor;
• padrões de clique e movimentação do usuário;
• configurações de hardware.

AliExpress é flagrado usando áudio para rastrear usuário