){kind=link}
O site do AliExpress foi flagrado emitindo sons para coletar dados do dispositivo do usuário. A descoberta foi documentada por um desenvolvedor que, por acaso, percebeu que o fone de ouvido sem fio se recusava a trocar de aparelho enquanto navegava pela loja virtual. O TecMundo entrou em contato com o AliExpress, do Alibaba Group, e não recebeu resposta até o momento.
Durante a navegação, o programador notou um problema estranho nos fones de ouvido: ao tentar alternar entre dispositivos pareados, o periférico se recusava a mudar do PC para o celular enquanto o site do AliExpress estivesse aberto no navegador.
smart_display
Nossos vídeos em destaque
A investigação então concluiu que o AliExpress estava emitindo sons inaudíveis por meio da API WebAudio. Foram encontrados indícios de dois scripts rodando na página da loja – collina.js e fireyejs.js –, um deles para emitir o som inaudível e o outro para analisar os dados do processamento da mídia.
Os dados observados do processamento de áudio eram então analisados para deduzir características do dispositivo do usuário. Esse método pode revelar informações como dados de renderização na tela, WebGL, configurações de exibição e detalhes do hardware.
Como consequência da reprodução de áudio, fones de ouvido configurados para priorizar a conexão com o PC se recusam a alternar para outro dispositivo. Na perspectiva do usuário, é como se o fone de ouvido estivesse simplesmente travado.
Nas redes sociais, o assunto ganhou notoriedade suficiente para chamar a atenção do Brave. A empresa então aproveitou o tema para ressaltar que o próprio app contém mecanismos de proteção contra esse tipo de rastreamento.
Método é conhecido como browser fingerprinting
Este método é conhecido como browser fingerprinting (“impressão digital de navegador”, em tradução livre). É uma alternativa de coleta de dados bastante disseminada pela internet.
Em alguns contextos, o browser fingerprinting é uma alternativa legítima para coleta de dados, como prevenção de fraudes, detecção de bots e avaliação de riscos – o que pode ser o caso do AliExpress. O mecanismo pode ser usado para identificar transações suspeitas e atividades automatizadas, mas sem depender de cookies ou outros métodos mais invasivos.
Outro desenvolvedor, que afirma ter trabalhado no Mozilla Firefox, ressalta que a coleta de dados por browser fingerprinting costuma ser inofensiva, principalmente frente a navegadores modernos. Ele cita que vários apps – Firefox, Chrome, Brave e Safari – já oferecem mecanismos nativos para mascarar as informações coletadas.
Por isso, a coleta de dados por meio da API WebAudio é praticamente inútil. A técnica pouco consegue extrair informações do PC e, quando consegue, os dados são insuficientes para inferir muito sobre o tipo de usuário ou dispositivo.
A única consequência seria, portanto, a interrupção na reprodução de mídia nos fones de ouvido.
De qualquer maneira, o achado reforça como há mecanismos de rastreamento para coletar dados de usuário – e até mesmo alguns tão sutis quanto a reprodução de áudios silenciosos.
Quer ficar por dentro das novidades do mundo da tecnologia? Acesse o TecMundo e acompanhe as últimas notícias sobre privacidade digital, segurança e rastreamento online.