Una práctica inadvertida de AliExpress, la plataforma de comercio electrónico del gigante chino Alibaba, ha puesto al descubierto un sofisticado método de rastreo de usuarios basado en el Web Audio API, el estándar que permite a las páginas web generar y procesar sonido directamente desde el navegador. Lo peculiar del caso es que esta técnica de huella digital digital —browser fingerprinting— terminó interfiriendo con el funcionamiento de auriculares Bluetooth multipunto, provocando que el audio del teléfono móvil del usuario quedara silenciado mientras navegaba por el sitio.
El descubrimiento fue realizado por el desarrollador Matt Callaghan, quien detectó la anomalía al notar que cada vez que abría una página de AliExpress en Firefox o Chrome, sus auriculares Bluetooth dejaban de reproducir el sonido proveniente de su teléfono. El fenómeno se producía incluso tras silenciar la pestaña, el navegador o el sistema operativo, y desaparecía en el momento en que cerraba la pestaña de AliExpress. Lo que en principio parecía un simple capricho técnico ocultaba en realidad un entramado de código mucho más insólito.
Según la investigación publicada por el propio Callaghan en su blog y replicada por el medio alemán Heise, la página de AliExpress creaba dos objetos de tipo AudioContext —entornos virtuales de procesamiento de audio— poco después de cargar, sin que existiera ningún elemento de audio o vídeo visible, ninguna llamada a funciones de reproducción ni metadatos en la Media Session que justificaran su activación. Los scripts responsables, identificados como collina.js y fireyejs.js, forman parte del conjunto de herramientas de seguridad y prevención de abuso de Alibaba, denominado AWSC.
El mecanismo, descrito por Heise con detalle técnico, resulta tan ingenioso como preocupante. Los scripts construyen una cadena de cinco bloques dentro del Web Audio API: un generador de onda en diente de sierra —una señal rica en armónicos que exige un esfuerzo computacional considerable al navegador—, seguida de un analizador de frecuencias capaz de ofrecer mediciones en tiempo real y de un nodo intermedio del que el código extrae los valores numéricos. Un regulador de volumen, fijado en cero, garantiza que el sonido sea inaudible para el usuario. A pesar de ello, la cadena termina conectada a la salida de audio del sistema, un último cable virtual que el sistema operativo y la pila de Bluetooth interpretan como una reproducción de sonido en curso. Como explica el artículo de Heise, los auriculares multipunto, diseñados para conmutar entre dispositivos según quién esté transmitiendo audio, dan prioridad al ordenador mientras perciban que este reproduce contenido, motivo por el que el sonido del teléfono quedaba interrumpido. Silenciar la pestaña no resuelve el problema porque el botón de mute reduce el volumen, pero no desconecta la señal del navegador con la tarjeta de sonido.
El objetivo real de los scripts no era, sin embargo, alterar el comportamiento de los auriculares. Como señala Heise, las mediciones obtenidas en los primeros bloques de la cadena bastan para alimentar el algoritmo de fingerprinting: los cálculos realizados por el navegador al procesar la señal revelan características únicas del hardware y del software del usuario, suficientes para generar un identificador altamente probable de un dispositivo concreto. Heise subraya que este tipo de rastreo es una práctica ampliamente extendida en toda la industria publicitaria, si bien Tom Ritter, ingeniero de seguridad de Mozilla, instaló ambas scripts en una web de demostración para que cualquier usuario pueda inspeccionar su código fuente y comprobar el valor de la huella resultante en su propio equipo.
La pregunta sobre si se trata de un descuido técnico o de una decisión deliberada sigue abierta. Como apunta Heise, sin ese último cable hacia la salida de audio —innecesario para el cálculo de la huella—, el rastreo habría sido completamente silencioso e indetectable. Habría sido precisamente ese cabo suelto el que delató la práctica ante un usuario con auriculares Bluetooth multipunto.
En cuanto a las posibles contramedidas, Callaghan y Heise coinciden en señalar varias vías. La más específica consiste en crear reglas personalizadas en uBlock Origin que bloqueen las rutas de los dos scripts identificados, aunque Alibaba versiona estos archivos con frecuencia, lo que obliga a actualizar las reglas periódicamente. Bloquear estas funciones de forma agresiva puede provocar la aparición de CAPTCHAs adicionales o dificultades en procesos de inicio de sesión y pago. Una protección más amplia y de bajo mantenimiento la ofrecen navegadores como Brave o Safari, que introducen ruido aleatorio en los valores devueltos por el Web Audio API, dificultando la generación de huellas digitales fiables.
El caso ilustra la creciente sofisticación de las técnicas de rastreo publicitario, capaces de explotar funcionalidades estándar de los navegadores —diseñadas para juegos, videoconferencias o aplicaciones musicales— con fines completamente ajenos a su propósito original. También pone de manifiesto cómo un error aparentemente menor, o quizá un exceso de celo técnico, basta para sacar a la luz prácticas que, de otro modo, habrían permanecido ocultas durante años.