AliExpress te está identificando a través de tus altavoces

El sonido de la vigilancia

Un desarrollador notó algo extraño mientras usaba auriculares Bluetooth con conexión multipunto. Cuando una pestaña de AliExpress permanecía abierta en la computadora, los auriculares se negaban a transferir el audio al teléfono: un problema rutinario de conmutación que no debería haber estado vinculado a ningún sitio en particular. Cerrá la pestaña, y el comportamiento desaparecía.

Esa coincidencia llevó por un sendero que termina con una realización mucho más inquietante: AliExpress estaba ejecutando procesos de audio silenciosos a través del navegador, usando los mismos altavoces y el hardware de audio dentro de tu dispositivo como un sensor para huellar y rastrearte. No se necesitaba ninguna cookie.

El descubrimiento surgió en agosto de 2026 después de que el desarrollador analizara el código del sitio y encontrara scripts que usaban la Web Audio API para construir gráficos de procesamiento de audio configurados a volumen cero. Nadie escucharía nada. Los gráficos se conectaban directamente a la salida de audio del sistema, mantenían la ruta de audio activa en segundo plano y recolectaban firmas específicas del dispositivo según la forma en que cada máquina procesaba la señal idéntica.

La interferencia con los auriculares Bluetooth era simplemente un daño colateral: evidencia de un subsistema de audio que nunca permanecía inactivo, incluso cuando la pestaña del navegador estaba silenciada.

Cómo funciona la huella digital

El fingerprints auditivo no es nuevo en concepto. Los investigadores han demostrado durante años que cada pieza de hardware introduce variaciones diminutas y medibles cuando procesa la misma señal digital. Las diferencias en un procesador, una tarjeta de sonido, la pila de controladores de audio del sistema operativo, incluso el navegador mismo: todo eso deja una huella única.

Los scripts que AliExpress desplegó ejecutaban una señal a través de la Web Audio API, medían cómo regresaba esa señal y usaban esas mediciones como un identificador estable. Debido a que el proceso vive dentro de la tubería de audio nativa del navegador, elude los bloqueadores de cookies, los modos de privacidad del navegador y la mayoría de los filtros de contenido. La única forma de detenerlo es deshabilitar completamente el procesamiento de audio, lo cual es impensable para cualquier sitio que ofrezca medios o dependa del sonido.

Esto no era aislado. Los mismos scripts también recolectaban datos de renderizado canvas, WebGL, configuraciones de pantalla, configuración de hardware, comportamiento WebRTC e interacciones del usuario. Combinados, esas señales crean un perfil compuesto mucho más durable que cualquier punto de datos individual. Quitá el componente de audio, y el resto todavía pinta una imagen reconocible. Quitá todo, y la mayor parte de la funcionalidad legítima de comercio electrónico se rompe.

Quiénes se benefician y quiénes pagan

AliExpress opera bajo la infraestructura de seguridad más amplia de Alibaba. La compañía ha declarado repetidamente que la tecnología de huellas digitales existe principalmente para la prevención de fraude, la detección de bots y la evaluación de riesgos. En ese marco, es una herramienta defensiva: una forma de identificar transacciones sospechosas y actividad automatizada cuando las cookies se han borrado o las cuentas rotadas.

El marco importa menos que el efecto. Cualquiera sea la intención, el resultado es un mecanismo de rastreo que funciona en silencio, no requiere consentimiento del usuario y no puede desactivarse mediante ningún control estándar del navegador. Los usuarios no reciben ninguna notificación. No hay un interruptor. La pestaña del navegador no muestra un stream de audio activo porque la ganancia es cero. Un usuario que escuche música a través de los mismos altavoces no notaría el proceso en segundo plano en absoluto.

Para los compradores, el costo es la erosión de una capa cada vez más frágil de privacidad en línea. Las cookies alguna vez ofrecieron un límite reconocible: los usuarios entendían que una cookie podía rastrearlos, y podían borrarlas o bloquearlas. El fingerprints auditivo elimina ese límite por completo. Convierte el dispositivo mismo en un baliza de rastreo, y no existe ninguna configuración del consumidor que lo desactive sin romper el sitio.

Para los fabricantes de navegadores, el episodio es otro recordatorio de que la carrera armamentista está cambiando. Brave señaló públicamente el comportamiento en agosto de 2026, observando que su navegador había bloqueado los scripts de AliExpress de forma predeterminada. Brave ha mantenido protecciones contra el fingerprints auditivo por más de seis años y desde entonces ha extendido defensas similares al fingerprints de GPU, que utiliza el hardware gráfico y el comportamiento de los controladores con el mismo propósito. Otros navegadores no han mantenido el ritmo. Algunos bloqueadores de contenido como uBlock Origin pueden interceptar los scripts, pero bloquearlos también puede interrumpir funciones de seguridad legítimas de las que AliExpress depende, creando un compromiso que recae directamente sobre el usuario.

El patrón más amplio

El caso AliExpress es notable no porque sea único en aislamiento, sino porque ilustra un cambio estructural. A medida que las regulaciones de privacidad van socavando el rastreo basado en cookies y los navegadores restringen las cookies de terceros, las plataformas están migrando a técnicas que residen dentro de la infraestructura legítima del navegador en lugar de rodearla. El fingerprints auditivo es un vector. El fingerprints de canvas, las diferencias de renderizado WebGL, la enumeración de fuentes y las firmas a nivel de hardware son otros. Cada uno explota una función que el navegador debe exponer para funcionar.

Esto no es un error. Es una inevitabilidad arquitectónica. Un navegador que pueda renderizar contenido web, reproducir audio, ejecutar JavaScript y comunicarse a través de la red siempre filtrará información sobre la máquina en la que se ejecuta. La pregunta es si esa filtración es incidental o intencional, y si el usuario tiene alguna voz en la materia.

El silencio es el punto. Si un método de rastreo se anuncia, los usuarios pueden resistirse. Si se esconde dentro de un gráfico de audio silenciado, se vuelve casi invisible. Esa invisibilidad es lo que hace que este desarrollo lo suficientemente significativo como para seguirlo de cerca.

Qué viene después

Los defensores de la privacidad han calificado esto como una violación seria, y las implicaciones regulatorias son reales. Varias jurisdicciones se están moviendo hacia requisitos de consentimiento para cualquier rastreo que identifique un dispositivo sin el conocimiento explícito del usuario. El fingerprints auditivo se sitúa exactamente en esa zona gris: técnicamente viable, comercialmente útil y casi con total seguridad indetectable para cualquiera que no haya profundizado en el JavaScript de un sitio.

La intervención de Brave muestra que las defensas a nivel de navegador pueden funcionar, pero son voluntarias y desiguales. La mayoría de los usuarios usan navegadores que no incluyen protecciones contra fingerprints de forma predeterminada. Hasta que los reguladores o los fabricantes de navegadores cierren la brecha, la experiencia predeterminada continuará favoreciendo el rastreo sobre la privacidad, y plataformas como AliExpress seguirán refinando estas técnicas.

El caso AliExpress no debería leerse como una anomalía. Es una anticipación de lo que sucede cuando una compañía con alcance global y recursos de ingeniería trata los controles de privacidad del navegador como opcionales. El gráfico de audio se ejecutaba a volumen cero. Las huellas digitales se ejecutaban a plena capacidad.

La lección es simple: si te están rastreando sin saberlo, ese rastreo está funcionando exactamente como fue diseñado.