AliExpress Sigue Huella Digital de Navegadores con Tecnología Obsoleta, Pero la Verdadera Amenaza Es Todo lo Demás
AliExpress fue sorprendido usando huella digital de audio obsoleta para identificar visitantes. La técnica ya está parcheada en los principales navegadores, pero las docenas de otros métodos de rastreo de la plataforma revelan un ecosistema de vigilancia mucho más peligroso que los reguladores aún no han abordado.
AliExpress pillaron usando una técnica fantasma
Recientemente se descubrió que AliExpress enviaba señales de audio inaudibles a los navegadores que visitaban su sitio: un método de huella digital que llevaba años effectively desaparecido. El hallazgo corrió a cargo de investigadores de seguridad que notaron que la plataforma seguía dependiendo de un residuo de rastreo propio de una época anterior de la web. La reacción inmediata no debería ser de alivio, sino de preocupación por todo lo que AliExpress podría estar haciendo ahora mismo.
La técnica de huella sonora funcionaba aprovechando pequeñas diferencias matemáticas entre las bibliotecas de los sistemas operativos y la forma en que distintas CPUs procesaban los cálculos de audio. Cuando un navegador reproducía un sonido, esas diferencias producían una firma identificable, vinculada a la combinación específica de hardware y software de cada visitante. El enfoque era poderoso precisamente porque no dejaba cookies, ni tokens de almacenamiento, ni rastro visible alguno.
Firefox parcheó esta vulnerabilidad en la versión 118, lanzada en 2023. Tom Ritter, desarrollador de Firefox que también colabora como voluntario con el Proyecto Tor, confirmó que el navegador pasó a usar sus propias bibliotecas matemáticas en lugar de depender de las que se entregan con el sistema operativo anfitrión. El cambio redujo la entropía disponible para los rastreadores hasta tornar la técnica completamente ineficaz.
Chrome y Safari también cuentan con protección similar. Chrome entrega sus propias bibliotecas, tal como confirmó un portavoz de Google. Safari probablemente se beneficia de la misma arquitectura, aunque Apple no respondió de inmediato para ofrecer declaraciones.
Entonces, ¿por qué AliExpress sigue ejecutando un método de huella digital obsoleto? La explicación más plausible es que no lo hace de manera intencional. El truco del audio parece ser un remanente de una implementación anterior: un fragmento de código que nunca se eliminó incluso después de que la técnica dejara de funcionar. Los investigadores lo detectaron solo porque estaban buscándolo activamente.
El verdadero problema es lo que AliExpress usa hoy en día
La huella de audio obsoleta es casi incidental. Lo que importa es la lista mucho más extensa de métodos de rastreo activos que emplea AliExpress. El investigador de seguridad Callaghan documentó más de una docena de otras técnicas en uso actualmente, y cubren prácticamente cada atributo medible de una sesión de navegación.
La plataforma recopila datos de renderizado del canvas y salidas de toDataURL(), lo que genera una huella única a partir de la manera en que un navegador dibuja gráficos. Recopila información del renderer WebGL, extensiones y precisión de los shaders, detalles que varían considerablemente entre distintas GPUs. Registra dimensiones de pantalla y viewport, relación de píxeles del dispositivo, concurrencia del hardware y memoria del dispositivo. Comprueba los complementos del navegador instalados, los formatos de audio y video compatibles, el comportamiento de WebRTC y los tiempos de rendimiento del navegador.
También rastrea eventos de ratón, táctiles, de enfoque y desplazamiento. Datos de movimiento y orientación del dispositivo. Propiedades comúnmente asociadas con herramientas de automatización de navegadores. Cada una de estas señales, tomada de forma individual, revela algo sobre un visitante. Combinadas, producen un perfil suficientemente preciso para identificar a la misma persona entre sesiones, entre dispositivos y potencialmente entre sitios web que comparten la misma infraestructura de huella digital.
Esto no es especulación. La huella del canvas, la identificación por WebGL y el rastreo conductual a través de patrones de ratón y desplazamiento se han demostrado repetidamente en investigaciones académicas y reportes de la industria. Son técnicas maduras con tasas de precisión conocidas que a menudo superan el 90 por ciento cuando se combinan múltiples señales.
Por qué esto va más allá de una sola plataforma
AliExpress es una gigante china de comercio electrónico transfronterizo que opera en más de 200 países. Su alcance se extiende mucho más allá del comprador occidental promedio. Millones de consumidores en Europa, América Latina, Sudeste Asiático y África navegan y compran en la plataforma regularmente. Estas son personas que pueden no tener la conciencia técnica ni las herramientas necesarias para protegerse contra un rastreo tan sofisticado.
Las implicaciones van más allá del perfilamiento comercial. Una plataforma que puede identificar visitantes individuales con este grado de consistencia puede construir historiales de compra detallados, patrones geográficos, perfiles de dispositivos y tendencias de comportamiento. Para consumidores en jurisdicciones autoritarias o países con débiles leyes de protección de datos, ese tipo de información no es inofensiva. Puede compartirse, venderse, solicitarse mediante orden judicial o reinterpretarse con otros fines.
La Unión Europea cuenta con el Reglamento General de Protección de Datos. California tiene la CCPA. Brasil tiene la LGPD. Pero ninguno de estos marcos aborda directamente la huella digital del navegador como una violación distintiva de la privacidad. El lenguaje legal fue redactado para cookies y recolección explícita de datos, no para la identificación pasiva a través de huellas de hardware y software. AliExpress puede argumentar que no está recopilando datos personales cuando en realidad está construyendo un perfil altamente personalizado sin almacenar un solo byte de información tradicional.
La carrera armamentista no ha terminado
El hecho de que Firefox, Chrome y Safari hayan parcheado la técnica de huella de audio es verdaderamente una buena noticia. Los fabricantes de navegadores están emprendiendo un esfuerzo defensivo continuo contra métodos de rastreo cada vez más invasivos. Pero la carrera es dinámica, no está resuelta.
Los editores de sitios buscan constantemente nuevos vectores. A medida que una técnica de huella digital se bloquea, otra ocupa el vacío. El cambio del audio al canvas, del canvas al WebGL, de las señales estáticas a los patrones conductuales representa solo una fracción de la evolución táctica que ocurre en tiempo real.
Los desarrolladores de navegadores están mejorando sus defensas. El paso de Firefox hacia bibliotecas matemáticas constantes fue un ajuste específico para un ataque concreto. Pero el ecosistema más amplio: miles de sitios web, cientos de servicios de huella digital, APIs de JavaScript en constante evolución—significa que siempre habrá nuevas superficies de medición por explotar.
Qué debería suceder a continuación
Los reguladores necesitan cerrar la brecha de la huella digital. Las leyes actuales de protección de datos tratan la identificación pasiva a través de señales del navegador como un área gris legal. Eso debe cambiar. La huella digital debería clasificarse como rastreo sujeto a los mismos requisitos de consentimiento que las cookies, con mecanismos claros de aplicación.
Los proveedores de navegadores deberían seguir endureciendo sus configuraciones por defecto. El reemplazo automático de bibliotecas, la reducción de entropía en el procesamiento de audio y las restricciones más estrictas a WebRTC son todos pasos en la dirección correcta. Pero las elecciones individuales de navegadores no bastan. Un panorama fragmentado donde algunos navegadores ofrecen protección sólida y otros no simplemente traslada la carga a usuarios informados en lugar de resolver el problema de forma sistémica.
Plataformas como AliExpress deberían ser responsabilizadas por el alcance completo de su rastreo, no solo por las técnicas que por casualidad resultan obsoletas. La historia de la huella de audio es noticiable porque es tangible. Las decenas de otros métodos se conocen desde hace años. La diferencia ahora es que un gran minorista global ha sido pillado usándolos a gran escala.
El sonido inaudible no es la amenaza. Es un remanente. La verdadera infraestructura de vigilancia es todo lo que vino después —y aún está en funcionamiento.