Uma auditoria realizada pelo portal Tom’s Hardware revelou que o marketplace AliExpress emprega um recurso voltado a extrair características do hardware de quem navega pela plataforma, utilizando para isso o sistema sonoro do próprio navegador.
O caso veio à tona graças ao programador Matt Callaghan. Ele percebeu que, ao acessar a página inicial da loja virtual utilizando o Firefox ou o Chrome, seus fones de ouvido sem fio perdiam a conexão multicanal com o smartphone, gerando interrupções no áudio do celular mesmo sem qualquer reprodução ativa no computador. O problema cessava imediatamente ao fechar a aba do site.
O mecanismo por trás da falha
A investigação de Callaghan apontou que a anomalia ocorria após a página permanecer inativa por alguns instantes. Monitorando a ferramenta WebAudio API — recurso nativo para processar sinais sonoros —, o desenvolvedor isolou dois scripts específicos ligados à segurança e ao combate a fraudes do grupo Alibaba (controlador do AliExpress): o “collina.js” e o “fireyejs.js”.
Os códigos criam internamente um sinal sonoro utilizando um oscilador do tipo dente de serra e medem a resposta desse processamento pelo navegador, sem emitir som audível aos ouvidos humanos (já que o volume é mantido em zero). No entanto, o esforço computacional interno mantém o canal Bluetooth ocupado, travando a troca automática de dispositivos de áudio.
Além do teste acústico, o pacote de códigos varre parâmetros como resolução de tela, quantidade de memória RAM, extensões ativadas, renderização via WebGL, codecs suportados e até interações do cursor do mouse. Esses dados são criptografados e transmitidos via telemetria aos servidores da Alibaba. Vale ressaltar que o Tom’s Hardware trata os dados como uma constatação técnica preliminar, sem uma confirmação oficial da gigante asiática sobre o propósito exato da rotina.
Matt identificou o problema a partir de interferência em seu fone de ouvido (Reprodução/Dan Farrell/Unsplash)
Entendendo o rastreamento por impressão digital (Fingerprinting)
O conceito de browser fingerprinting consiste em coletar um conjunto amplo de atributos do dispositivo e do software do internauta para gerar uma espécie de identidade única, capaz de reconhecer o aparelho em acessos futuros.
Segundo a Electronic Frontier Foundation (EFF), que monitora esse tipo de prática, a técnica une informações como fuso horário, fontes instaladas, versão do software e componentes de hardware. Ao contrário dos cookies tradicionais, que podem ser facilmente deletados, esses traços são mais complexos de mascarar. Combinados, formam um perfil altamente específico.
Dispositivos e navegadores também geram uma “impressão digital” única, usado para rastrear o comportamento do usuário na internet (Reprodução/Immo Wegmann/Unsplash)
O papel do áudio na identificação
O chamado AudioContext fingerprinting já é catalogado pela EFF como parte desse arsenal de rastreio. A premissa baseia-se no fato de que pequenas variações de hardware, placa de som, sistema operacional e navegador alteram de forma sutil a maneira como um sinal de áudio interno é processado.
Estudos acadêmicos, como uma pesquisa da Universidade Federal do Amazonas e artigos publicados na plataforma arXiv, demonstram que essa técnica serve para mapear categorias de hardwares e refinar perfis quando combinada a outros rastreadores.
O episódio com a gigante de e-commerce reforça que é plenamente viável extrair métricas de desempenho de áudio de forma totalmente silenciosa e sem invadir a privacidade do microfone. Especialistas reforçam que o método não grava conversas nem obtém dados civis diretos, focando exclusivamente em telemetria técnica.
Em resposta à repercussão, desenvolvedores de navegadores destacaram barreiras de segurança já existentes. A Mozilla lembrou que o Firefox possui proteções nativas contra esse tipo de rastreamento desde a versão 118, enquanto o navegador Brave adota bloqueios automáticos que injetam ruído randômico nos sinais de áudio para despistar scripts maliciosos.
