AliExpress utiliza sonidos inaudibles
El ingeniero de software y hacker de hardware Matthew Callaghan descubrió que AliExpress utiliza sonidos inaudibles para perfilar a los usuarios y recopilar información técnica de sus dispositivos. Callaghan utilizaba unos auriculares Bluetooth multipunto que se conectaban al PC y al móvil al mismo tiempo, y notó que cuando abría AliExpress en Firefox o Chrome, el audio del teléfono dejaba de escucharse en los auriculares. Callaghan investigó y descubrió que los scripts collina.js y fireyejs.js generaban una onda de sierra conocida y la enviaban hacia la salida de audio con la ganancia ajustada a cero. Esta técnica se conoce como fingerprinting, y consiste en reunir características del navegador y del dispositivo para singularizar un equipo entre muchos otros. La información recopilada incluye la pantalla, el sistema operativo, el hardware, la GPU y ciertas respuestas de sus APIs. Los scripts también consultaban el renderizado de Canvas, información de WebGL, dimensiones de pantalla, memoria del dispositivo, formatos multimedia compatibles, comportamiento de WebRTC, tiempos de rendimiento y distintos eventos de interacción. La política de privacidad de AliExpress reconoce que recopila automáticamente información técnica y de uso del dispositivo, aunque no describe específicamente esta prueba de audio. Según el desarrollador de Firefox Tom Ritter, esta técnica ha perdido fuerza desde que Mozilla hizo más constante el resultado de WebAudio en Firefox 118. En la telemetría que cita, el 99,24% de las mediciones queda concentrado en solo tres valores. Además, esta técnica es ineficaz en Chrome, que incorpora sus propias bibliotecas. El uso de señales del dispositivo no se mueve en un vacío regulatorio. En Europa, el EDPB ha abordado expresamente el fingerprinting dentro del alcance técnico de ePrivacy, y en España la AEPD lleva años analizando estas técnicas y su relación con el acceso a información del terminal. Aunque no se puede afirmar que AliExpress haya vulnerado ninguna norma europea o española, el descubrimiento de Callaghan muestra hasta qué punto los navegadores y los reguladores han ido prestando más atención al rastreo invisible. No se sabe qué sucede con la información recopilada después de que se envía a los servidores de AliExpress, ni durante cuánto tiempo se conservan los resultados. Tampoco se sabe si se utilizan para reconocer dispositivos, detectar automatización o evaluar posibles fraudes. La compañía no ha respondido a los comentarios solicitados.