Pillan a AliExpress usando sonidos inaudibles para perfilar a los usuarios (y noquear sus auriculares Bluetooth)

Pasamos buena parte del día saltando de una web a otra sin preguntarnos qué información va quedando por el camino. Para nosotros hay páginas, aplicaciones, búsquedas y productos; para los servicios que visitamos también puede haber datos sobre el navegador, el hardware, la pantalla o la manera en que nos movemos por cada página. Ese interés no responde a una única finalidad: puede servir para medir comportamiento, personalizar servicios, detectar fraude o distinguir tráfico automatizado. La cuestión es que muchas de esas señales se recopilan lejos de nuestra vista.

Unos auriculares dieron la pista. El hallazgo llegó casi por accidente. Matthew Callaghan, ingeniero de software y hacker de hardware, utilizaba unos auriculares Bluetooth multipunto, capaces de permanecer conectados al PC y al móvil al mismo tiempo. Según relata, todo funcionaba con normalidad hasta que abría AliExpress en Firefox o Chrome: poco después, el audio del teléfono dejaba de escucharse en los auriculares y solo regresaba al cerrar la pestaña. Silenciarla, o incluso silenciar el navegador o Windows, no solucionaba el problema, y en la página no había ningún vídeo, música o contenido multimedia visible reproduciéndose.

El sonido que nadie oía. Callaghan descartó primero las explicaciones más evidentes: no había elementos de audio o vídeo, llamadas de reproducción ni una sesión multimedia activa. Al vigilar la API Web Audio encontró, en cambio, dos AudioContext creados por los scripts collina.js y fireyejs.js. El experto asegura que ambos generaban una onda de sierra conocida, analizaban cómo la procesaba el navegador y enviaban después la señal hacia la salida de audio con la ganancia ajustada a cero. 

Una huella, pero del navegador. Cuando hablamos de fingerprinting no estamos diciendo que una web obtenga nuestra huella dactilar. La técnica consiste en reunir características que el navegador y el dispositivo exponen durante su funcionamiento, como la pantalla, el sistema operativo, el hardware, la GPU o ciertas respuestas de sus APIs. Ninguno de esos datos tiene por qué identificarnos por sí solo, pero al combinarlos pueden ayudar a singularizar un equipo entre muchos otros. En otras palabras, una web puede intentar reconocer un navegador sin necesidad de saber todavía quién es la persona que lo utiliza.

El audio era solo una parte. Lo encontrado no terminaba en WebAudio. Callaghan asegura que los mismos scripts consultaban también el renderizado de Canvas, información de WebGL, dimensiones de pantalla, memoria del dispositivo, formatos multimedia compatibles, comportamiento de WebRTC, tiempos de rendimiento y distintos eventos de interacción, entre otras señales. Los dos scripts aparecen además bajo AWSC y, según el investigador, parecen formar parte de herramientas de seguridad y antiabuso de Alibaba. La propia política de privacidad de AliExpress reconoce que recopila automáticamente información técnica y de uso del dispositivo, aunque no describe específicamente esta prueba de audio.

Una técnica que perdió fuerza. Hay un matiz importante: que AliExpress ejecute esta prueba no significa que el audio siga siendo una herramienta especialmente eficaz para distinguir navegadores. Tom Ritter, desarrollador de Firefox, explica que desde Firefox 118, lanzado en 2023, Mozilla hizo mucho más constante el resultado de WebAudio para eliminar la mayoría de esas diferencias; en la telemetría que cita, el 99,24% de las mediciones queda concentrado en solo tres valores. Por otra parte, esta técnica concreta es ineficaz en Chrome, que también incorpora sus propias bibliotecas. 

Europa vigila estas técnicas. El uso de señales del dispositivo no se mueve hoy en un vacío regulatorio. En Europa, el EDPB ha abordado expresamente el fingerprinting dentro del alcance técnico de ePrivacy, y en España la AEPD lleva años analizando estas técnicas y su relación con el acceso a información del terminal. El contexto es relevante porque muestra hasta qué punto reguladores y navegadores han ido prestando más atención al rastreo invisible. Pero conviene mantener el límite: con lo publicado por Callaghan no podemos afirmar que AliExpress haya vulnerado ninguna norma europea o española, y ni siquiera sabemos si este sistema se está desplegando de forma generalizada, en qué países o regiones funciona de este modo. 

Lo que todavía no sabemos. A partir del navegador podemos ver mucho, pero no todo. Callaghan comprobó la recopilación y transmisión de numerosas señales técnicas, aunque reconoce que no tiene visibilidad sobre lo que ocurre después en los servidores de AliExpress: podrían utilizarse para reconocer dispositivos, detectar automatización o evaluar posibles fraudes, pero ninguna de esas finalidades está demostrada para este sistema concreto. Tampoco sabemos durante cuánto tiempo se conservan esos resultados, si acaban vinculándose a una identidad o si se utilizan en otros servicios de Alibaba. The Register asegura que solicitó comentarios a la compañía, aunque todavía no ha recibido una respuesta. 

Imágenes | Xataka con Nano Banana

En Xataka | Qué significa que las empresas de IA estén teniendo problemas de alineación y dediquen ya el 20% de sus recursos a esto