Pillan a AliExpress ‘espiando’ los audios de sus usuarios
AliExpress habría utilizado una técnica poco habitual para identificar los dispositivos de sus usuarios: generar señales de audio inaudibles desde el navegador y analizar cómo las procesa cada ordenador. Así lo ha descubierto un desarrollador que investigaba un problema que afectaba a sus auriculares Bluetooth.
Al analizar el código de la web, descubrió que la herramienta de ecommerce mantenía activo un sistema de procesamiento de audio en segundo plano, aunque en la página no se estuviera reproduciendo música ni ningún vídeo.
El hallazgo puede resultar preocupante, pero en realidad no lo es tanto. La técnica no consiste en activar el micrófono y grabar lo que ocurre alrededor del usuario. En su lugar, la web utiliza la tecnología Web Audio de los navegadores para generar señales de audio a volumen cero, por lo que son inaudibles para la persona que está utilizando el dispositivo. Posteriormente, analiza pequeñas diferencias en la manera en que el ordenador procesa esas señales.
¿Por qué puede servir esto para identificar un dispositivo? Porque no todos los ordenadores procesan exactamente igual una misma señal. El navegador, el sistema operativo, las librerías de audio y determinados componentes del hardware pueden provocar pequeñas diferencias. Esas diferencias pueden convertirse en una especie de huella digital del dispositivo, una técnica conocida como fingerprinting.
El audio sería, además, solo una de las piezas utilizadas para construir esa identificación. La investigación apunta a que los scripts analizados también recopilarían información relacionada con las características del hardware, los gráficos, WebGL, la red, la pantalla y la interacción del usuario con la página. Todos estos elementos pueden combinarse para crear una identificación más precisa del dispositivo.
El fingerprinting permite reconocer un dispositivo sin depender necesariamente de las tradicionales cookies. Por ejemplo, aunque un usuario borre estas del navegador, una combinación suficientemente específica de características técnicas podría permitir a una página determinar que está utilizando el mismo dispositivo que había visitado anteriormente.
Este tipo de tecnología puede tener aplicaciones legítimas. Una plataforma de comercio electrónico puede utilizarla para detectar comportamientos fraudulentos, como la creación masiva de cuentas, el abuso de cupones o determinados intentos de manipular promociones.
AliExpress no ha sido clara
Sin embargo, la investigación pone el foco especialmente en la transparencia, ya que los usuarios no recibirían un aviso específico explicando que AliExpress está utilizando estas características de su dispositivo para generar una huella digital.
Aquellos que quieran dificultar este tipo de técnicas pueden recurrir a navegadores que incorporan medidas específicas contra el fingerprinting, como Firefox o Brave. Este último, además, habría bloqueado los scripts de AliExpress identificados durante la investigación.
Aun así, no existe una forma completamente sencilla de impedir todos los métodos de identificación utilizados en Internet, ya que estas técnicas se basan en combinar multitud de pequeños detalles técnicos del dispositivo.