AliExpress śledzi użytkowników za pomocą dźwięku, którego nie słychać. Brave bije na alarm

Ciasteczka internetowe coraz częściej tracą na znaczeniu, dlatego firmy szukają nowych sposobów identyfikowania użytkowników. Jak wynika z ustaleń badaczy, AliExpress może wykorzystywać w tym celu znacznie bardziej nietypową metodę, a mianowicie charakterystykę układu audio komputera. Co istotne, proces może odbywać się całkowicie bezgłośnie i być praktycznie niewidoczny dla użytkownika.

Sprawa wyszła na jaw po problemach dewelopera z wielopunktowymi słuchawkami Bluetooth. Gdy karta AliExpress była otwarta, słuchawki nie chciały prawidłowo przełączać się między komputerem a smartfonem. Po zamknięciu strony problem znikał. Analiza kodu wykazała wykorzystanie Web Audio API do tworzenia grafów przetwarzania audio ustawionych na zerową głośność. Oznacza to, że dźwięku nie dało się usłyszeć, ale przeglądarka nadal aktywnie korzystała z systemu audio. Co więcej, wyciszenie karty nie zatrzymywało tego procesu.

Sprawa wyszła na jaw po problemach dewelopera z wielopunktowymi słuchawkami Bluetooth.

Audio może stać się cyfrowym odciskiem palca

Mechanizm może mieć również zastosowanie w tzw. fingerprintingu. Strona wysyła określony sygnał, a następnie analizuje niewielkie różnice w sposobie jego przetwarzania przez konkretny komputer. Na wynik wpływają m.in. procesor, układ dźwiękowy, sterowniki, system operacyjny i przeglądarka. To jednak tylko jeden z elementów potencjalnego profilu. Według ustaleń skrypty zbierały również informacje związane z renderowaniem Canvas, WebGL, konfiguracją sprzętową, ustawieniami ekranu, WebRTC oraz zachowaniem użytkownika. Połączenie wielu takich parametrów pozwala stworzyć znacznie bardziej charakterystyczny identyfikator urządzenia.

Alibaba's AliExpress was caught using users' audio systems to track them.

AliExpress wasn't recording users but instead playing a silent sound and measuring how users' specific devices processed it in order to fingerprint them.

But don't worry because Brave stops this.

— Brave (@brave) August 22, 2026

Fingerprinting nie musi służyć wyłącznie reklamodawcom. Firmy wykorzystują go również do wykrywania botów, oszustw i podejrzanych transakcji, szczególnie gdy użytkownik usunie cookies. Problem pojawia się wtedy, gdy identyfikowanie urządzenia odbywa się bez wyraźnej wiedzy użytkownika.

Przeglądarka Brave poinformowała, że blokuje skrypty AliExpress odpowiedzialne za fingerprinting audio. Jej zabezpieczenia od lat mają utrudniać tworzenie stabilnego „odcisku palca” poprzez celowe wprowadzanie niewielkich różnic w wynikach zwracanych stronom.

Użytkownicy innych przeglądarek mogą próbować ograniczyć takie mechanizmy za pomocą blokerów treści, np. uBlock Origin. Trzeba jednak pamiętać, że część wykorzystywanego kodu może odpowiadać również za zabezpieczenia antyscamowe.