AliExpress ativava áudio escondido no navegador para identificar usuários

Pesquisadores identificaram um código na página inicial do AliExpress que executava processos silenciosos de áudio diretamente no navegador dos usuários, com o objetivo de gerar uma espécie de "impressão digital" (fingerprint) do dispositivo, uma forma de rastreamento que dispensa o uso de cookies.

O código está ligado aos sistemas de segurança da Alibaba, controladora do site.

A descoberta só veio à tona quando um desenvolvedor percebeu que seu fone de ouvido Bluetooth com suporte a múltiplos dispositivos parava de funcionar corretamente sempre que uma aba do AliExpress estava aberta, o fone não conseguia alternar entre o computador e o celular. O problema desaparecia assim que a aba era fechada.

Áudio em volume zero, mas sempre ativo

Ao investigar o código do site, o desenvolvedor encontrou o uso da Web Audio API para construir grafos de processamento de áudio configurados em volume zero, que são os fluxos digitais que conectam fontes de som, filtros e saídas do navegador.

O processo não produzia nenhum som audível, mas ainda assim se conectava ao sistema de áudio do computador, mantendo o canal ativo em segundo plano, o que parece explicar a interferência na troca de dispositivos do fone Bluetooth.

Diferentemente de um player de mídia comum, esse processamento continuava rodando mesmo quando a aba do navegador era silenciada, já que o grafo de áudio operava com ganho zero e se conectava diretamente à saída de som do sistema: o navegador seguia processando o sinal, mesmo sem nada para ouvir.

Como o áudio vira identificador?

O mesmo tipo de código pode ser usado para fingerprinting de navegador, técnica que coleta detalhes específicos de cada dispositivo e os combina para reconhecer um navegador ao longo do tempo.

No caso do AliExpress, os scripts mediam pequenas diferenças na forma como cada aparelho processava um sinal de áudio idêntico, variações moldadas pelo processador, hardware de som, sistema operacional, navegador e drivers de cada máquina.

A coleta de dados de áudio era apenas uma parte do conjunto de informações reunidas.

Os scripts também captavam dados ligados à forma como ele desenhava gráficos na tela, aos movimentos do mouse, ao modelo do monitor e à velocidade do processador.

Juntos, esses sinais permitem montar um perfil de dispositivo muito mais detalhado do que qualquer informação isolada conseguiria fornecer.

Esse tipo de técnica costuma ser usado por grandes plataformas para prevenção de fraude, detecção de bots e avaliação de risco útil, por exemplo, para identificar transações suspeitas mesmo depois que cookies foram apagados ou contas foram trocadas.

Defensores de privacidade, no entanto, veem risco no fato de que o usuário geralmente não sabe que está sendo rastreado e tem pouco controle sobre isso.