Un hallazgo accidental ha puesto de manifiesto una técnica poco visible de recopilación de datos en la web. Matthew Callaghan, ingeniero de software y especialista en hardware, detectó que AliExpress ejecuta scripts que generan sonidos inaudibles para crear una huella digital del navegador, una práctica conocida como fingerprinting. El descubrimiento llegó cuando sus auriculares Bluetooth multipunto perdían conexión con el móvil cada vez que abría la plataforma de comercio electrónico en Firefox o Chrome, según recoge Xataka.
Callaghan utilizaba unos auriculares capaces de mantenerse conectados simultáneamente al PC y al teléfono. Todo funcionaba con normalidad hasta que cargaba la web de AliExpress: poco después, el audio del smartphone dejaba de escucharse en los auriculares y solo regresaba al cerrar la pestaña. Silenciar el navegador o la pestaña no resolvía el problema, y en la página no había ningún contenido multimedia visible reproduciéndose.
Ondas de sierra con ganancia cero
Al investigar la API Web Audio, el ingeniero encontró dos AudioContext creados por los scripts collina.js y fireyejs.js. Ambos generaban una onda de sierra conocida, analizaban cómo la procesaba el navegador y enviaban la señal hacia la salida de audio con la ganancia ajustada a cero, es decir, sin volumen perceptible. La técnica no busca reproducir sonido real, sino medir cómo cada combinación de navegador y hardware procesa la señal, obteniendo así una huella única del dispositivo.
El fingerprinting consiste en reunir características que el navegador y el dispositivo exponen durante su funcionamiento: pantalla, sistema operativo, GPU, respuestas de APIs web. Ningún dato individual identifica al usuario, pero al combinarlos pueden singularizar un equipo entre muchos otros. En otras palabras, una web puede intentar reconocer un navegador sin necesidad de saber todavía quién es la persona que lo utiliza.
Mucho más que audio
El audio era solo una pieza. Callaghan asegura que los mismos scripts consultaban también el renderizado de Canvas, información de WebGL, dimensiones de pantalla, memoria del dispositivo, formatos multimedia compatibles, comportamiento de WebRTC, tiempos de rendimiento y eventos de interacción. Los scripts aparecen bajo el paraguas de AWSC y, según el investigador, forman parte de herramientas de seguridad y antiabuso de Alibaba. La política de privacidad de AliExpress reconoce que recopila automáticamente información técnica y de uso del dispositivo, aunque no describe específicamente esta prueba de audio.
Una técnica en declive
Que AliExpress ejecute esta prueba no significa que el audio siga siendo una herramienta especialmente eficaz para distinguir navegadores. Tom Ritter, desarrollador de Mozilla, explica que desde Firefox 118 —lanzado en 2023— el navegador hizo mucho más constante el resultado de WebAudio para eliminar la mayoría de esas diferencias; en la telemetría publicada, el 99,24% de las mediciones queda concentrado en solo tres valores. Por otra parte, esta técnica concreta es ineficaz en Chrome, que también incorpora sus propias bibliotecas de mitigación.
El uso de señales del dispositivo no se mueve hoy en un vacío regulatorio. En Europa, el Comité Europeo de Protección de Datos (EDPB) ha abordado expresamente el fingerprinting dentro del alcance técnico de ePrivacy, y en España la AEPD lleva años analizando estas técnicas y su relación con el acceso a información del terminal. El contexto es relevante porque muestra hasta qué punto reguladores y navegadores han ido prestando más atención al rastreo invisible.
Preguntas sin respuesta
Callaghan comprobó la recopilación y transmisión de numerosas señales técnicas, aunque reconoce que no tiene visibilidad sobre lo que ocurre después en los servidores de AliExpress: podrían utilizarse para reconocer dispositivos, detectar automatización o evaluar posibles fraudes, pero ninguna de esas finalidades está demostrada para este sistema concreto. Tampoco se conoce durante cuánto tiempo se conservan esos resultados, si acaban vinculándose a una identidad o si se utilizan en otros servicios de Alibaba. The Register asegura que solicitó comentarios a la compañía, aunque todavía no ha recibido respuesta.
