Cómo el rastreo de audio silencioso se convirtió en la próxima jugada de fingerprinting de AliExpress

El sonido del silencio

Matt Callaghan lo notó primero porque interrumpía su música. Sus auriculares Bluetooth, configurados para audio multipunto, se cortaban de golpe cada vez que abría una página de AliExpress en Firefox o Chrome. Sin video de autoplay. Sin pestaña en silencio. Solo silencio, y luego el audio de su teléfono comenzaba a sonar.

Callaghan, ingeniero de software, cavó en el código detrás de la interrupción y encontró algo que no debería estar ahí: un script de fingerprinting de audio inaudible que se ejecutaba dentro de las herramientas de seguridad del navegador de Alibaba. El oscilador estaba configurado con ganancia cero, lo que significa que ningún oído humano podría oírlo; pero el grafo de WebAudio aún procesaba la señal a través de la tubería de audio del navegador. Desde allí, medía cómo regresaba esa señal, capturando de todo, desde dimensiones de pantalla y memoria del dispositivo hasta caprichos de renderizado WebGL y patrones de movimiento del ratón. Era una huella digital completa, escondida a plena vista dentro de una pestaña que parecía completamente vacía para el usuario.

El detalle más inquietante provenía del comportamiento del Bluetooth multipunto. Debido a que el script utilizaba procesamiento de audio en vivo en lugar de un elemento multimedia, los controles normales de silencio del navegador no podían detenerlo. Y eso significaba que la ruta de audio Bluetooth permanecía activa, impidiendo que los auriculares volvieran a conectarse al teléfono. El efecto secundario probaba el mecanismo: no se trataba de un error en la lógica de fingerprinting. Era la propia lógica de fingerprinting, comportándose exactamente como estaba diseñada.

Por qué esto va más allá de los auriculares de un desarrollador

El fingerprinting no es nuevo. Los navegadores conocen desde hace años la extracción de identidad basada en canvas y WebGL. Lo que hace diferente a este caso es el vector. El fingerprinting de audio a través de WebAudio explota una parte de la API diseñada para propósitos legítimos —aplicaciones de música, visualizadores de audio, procesamiento de sonido en tiempo real— y se sitúa fuera del alcance de la mayoría de las protecciones antigrazning existentes.

Firefox adoptó una postura deliberada aquí. A partir de la versión 118, en septiembre de 2023, el navegador agrupa a casi todos los usuarios en uno de tres compartimentos de hardware, haciendo que el fingerprinting sea inútil para el rastreo. Para el 99,24 por ciento de los usuarios de Firefox, el intento se colapsa en ruido. El 0,76 por ciento restante que cae fuera de esos compartimentos ha sido rastreado por solo 48 personas en todo el mundo, según el ingeniero de seguridad de Firefox Tom Ritter. Ese subconjunto es lo suficientemente pequeño como para representar probablemente casos extremos —RAM defectuosa, errores de CPU, arquitecturas inusuales— en lugar de un canal de vigilancia viable. Brave, por su parte, va más lejos inyectando datos aleatorios en la salida de audio del navegador y bloqueando explícitamente los scripts de fingerprinting de AliExpress. Safari utiliza un enfoque diferente, inyectando errores directamente en el búfer de audio.

Chrome no hace nada de esto. El consultor de privacidad Alexander Hanff declaró a principios de este año que al menos treinta técnicas distintas de fingerprinting funcionan en Chrome actualmente, en producción, en millones de sitios web. La brecha entre Chrome y sus competidores en este tema no es incremental. Es estructural.

El efecto derrame de la publicidad tecnológica

AliExpress es la apuesta de comercio transfronterizo para consumidores de Alibaba. Sus compradores provienen de mercados donde el fingerprinting a nivel de navegador ya es una práctica común —sudeste asiático, América Latina, Europa, partes de África—. La compañía tiene todo el incentivo para construir infraestructura de rastreo que funcione sin importar qué navegador use el usuario, porque las plataformas y la demografía que sirve se fragmentan precisamente en esas líneas.

Así es como el fingerprinting de audio silencioso se convierte en una herramienta estándar en lugar de un experimento aislado. La técnica es barata de implementar, invisible para el usuario y difícil de detectar sin inspeccionar activamente los grafos de WebAudio. Evita las políticas de autoplay que los navegadores han endurecido durante años. Elude los detectores de elementos multimedia que los vendedores de publicidad tecnológica ya han aprendido a evitar. Y a medida que navegadores como Chrome continúan ofreciendo protecciones por defecto más débiles, el incentivo económico para adoptar estos métodos solo crece.

Los datos de telemetría —encriptados y enviados a los servidores de Alibaba— alimentan whatever sistema de identificación opere Alibaba. Ese sistema ya podría estar cruzando información con rastreo basado en aplicaciones, identificadores de dispositivo e información de pago. La huella digital del navegador no es un identificador aislado. Es una entrada más en un grafo más amplio, y eliminar un nodo no colapsa la red.

Quiénes ganan, quiénes pierden

Los ganadores son las plataformas y las redes publicitarias que pueden tejer identidades persistentes a través de sesiones sin consentimiento. Alibaba ya opera a gran escala en mercados emergentes donde la regulación de privacidad es débil o no se aplica. Un método de fingerprinting que funciona en Chrome, el navegador dominante a nivel mundial, le da una ventaja sobre competidores que dependen de plataformas con protecciones de privacidad más sólidas.

Los perdedores son los compradores, especialmente en el comercio electrónico transfronterizo, donde los usuarios ya son vulnerables a discriminación de precios, manipulación de recomendaciones y publicidad dirigida. El fingerprinting elimina el anonimato de la propia sesión de navegación. Un usuario que navegue fuera de AliExpress y regrese más tarde probablemente será reconocido, y los datos recolectados en ese período intermedio —características del dispositivo, patrones de navegación, señales de interacción— ya han sido registrados.

Para los proveedores de navegadores, la división es clara. Firefox y Brave han hecho elecciones de privacidad explícitas que podrían costarles parte de su cuota de mercado entre usuarios casuales, pero que los diferencian para usuarios avanzados y audiencias conscientes de la privacidad. Chrome, gobernado por el ecosistema publicitario de Google, no tiene tal incentivo. La división en tres posturas de privacidad entre navegadores ahora es visible en tiempo real a través de este caso de AliExpress.

Qué sigue

La trayectoria más probable es la adopción incremental. Una vez que un vector de fingerprinting demuestra ser viable en una plataforma importante como AliExpress, otros sitios de comercio electrónico y vendedores de publicidad tecnológica probarán enfoques similares. La barrera de entrada es baja. El riesgo de detección es bajo. La protección que ofrece la mayoría de los navegadores también es baja.

La presión regulatoria podría cambiar ese cálculo. Tanto la UE como el Reino Unido se están moviendo hacia una aplicación más estricta de las reglas de identificación en línea, y el fingerprinting de navegadores encaja firmemente en el ámbito de esos debates. Pero la regulación es lenta, y las técnicas evolucionan más rápido. Lo que importa a corto plazo es la elección del navegador.

Para el comprador promedio, no hay una solución única. Usar Firefox con protección mejorada contra rastreo, o Brave con sus escudos por defecto, ofrece resistencia significativa. Verificar la presencia de scripts de audio inaudibles requiere herramientas que la mayoría de los usuarios no emplea. Aceptar que algo de rastreo es inevitable en Chrome —y añadir extensiones como uBlock Origin o Privacy Badger— ofrece mitigación parcial, pero no la protección integral que ofrece el enfoque de compartimentación de Firefox.

El descubrimiento de Callaghan es valioso no porque revele un ataque novel, sino porque muestra qué sucede cuando una plataforma importante elige la funcionalidad sobre el escrutinio. El silencio en sus auriculares no fue un accidente. Fue el sonido de un navegador haciendo exactamente lo que se le ordenaba, procesando datos de audio que nadie pretendía escuchar, mientras un algoritmo tomaba notas.