Um problema aparentemente banal com fones Bluetooth levou o desenvolvedor Matt Callaghan a descobrir que o AliExpress executava dois processos de áudio invisíveis no navegador. Eles não produziam som audível, mas geravam e analisavam uma onda sonora como parte de um conjunto muito maior de informações capaz de criar uma “impressão digital” do dispositivo.
A descoberta começou quando Callaghan percebeu que seus fones Bluetooth com suporte a multiponto paravam de reproduzir a música do celular pouco depois de ele abrir o AliExpress no PC. Fechar a aba resolvia imediatamente o problema, mas silenciar a página, o Firefox ou o próprio Windows não fazia diferença.
Não havia vídeo, música ou outro conteúdo aparentemente responsável pelo comportamento. Foi justamente essa ausência que levou o desenvolvedor a investigar o código executado pela página.
AliExpress processava áudio mesmo sem reproduzir som
Callaghan monitorou a Web Audio API e encontrou dois contextos de áudio criados por scripts chamados collina.js e fireyejs.js. Segundo sua análise, ambos fazem parte das ferramentas de segurança e combate a abuso da Alibaba.
Os scripts criavam um oscilador com uma onda dente de serra e analisavam o resultado depois de seu processamento pelo navegador. O volume final era definido como zero, portanto o usuário não deveria ouvir nada. Ainda assim, o navegador continuava processando o áudio.
Isso explica uma das partes mais curiosas do caso. Como não existia um elemento convencional de áudio ou vídeo sendo reproduzido, simplesmente apertar o botão para silenciar a aba não interrompia a atividade. No computador de Callaghan, o processamento aparentemente mantinha ativa a rota de áudio do PC e impedia que seus fones multiponto voltassem corretamente para o celular.
Áudio fazia parte de uma impressão digital muito maior
O chamado browser fingerprinting procura identificar um navegador ou dispositivo combinando diversas características que podem diferenciá-lo dos demais. A investigação encontrou muito mais que o teste de áudio. Os scripts consultavam ou mediam informações relacionadas a renderização Canvas e WebGL, dimensões da tela, memória do dispositivo, número de threads do processador, plugins instalados, formatos de mídia suportados, WebRTC e até eventos de mouse, toque e rolagem. Também havia código para serializar, criptografar e transmitir dados aos serviços de telemetria da Alibaba.
O áudio pode contribuir porque pequenas diferenças entre navegadores, sistemas operacionais, bibliotecas e hardware podem alterar o resultado do processamento de um mesmo sinal. Combinado a outros indicadores, esse resultado pode ajudar a diferenciar dispositivos.
Isso não significa que o AliExpress estivesse usando o microfone para escutar compradores. O mecanismo descrito por Callaghan gera seu próprio sinal dentro do navegador e analisa seu processamento.
Também existe outra limitação importante: o desenvolvedor afirma que não conseguiu determinar o que acontece com os dados depois que eles chegam aos servidores. Eles poderiam contribuir para identificar persistentemente um dispositivo, mas também podem integrar mecanismos antifraude ou de detecção de bots.
Firefox diz que técnica de áudio já é praticamente inútil
A existência do código também não significa que essa parte específica do fingerprinting consiga identificar todos os visitantes.
A Mozilla afirma que as proteções introduzidas no Firefox 118, lançado em 2023, reduziram drasticamente a capacidade de diferenciar usuários por esse método. Em testes citados por um engenheiro de segurança do Firefox, 99,24% dos usuários ficaram concentrados em apenas três grupos de resultados, enquanto em outros 0,76% o teste falhou.
O Brave também afirmou possuir proteções contra fingerprinting e disse bloquear especificamente os scripts encontrados no AliExpress. O navegador ainda introduz variações nos resultados apresentados aos sites para dificultar a criação de identificadores persistentes.
Callaghan conseguiu impedir os dois contextos de áudio usando regras específicas no uBlock Origin. Ele alerta, porém, que bloquear scripts ligados a mecanismos antifraude pode provocar CAPTCHAs adicionais ou até dificuldades durante login e pagamento.
O episódio acabou expondo a técnica justamente por causa de um efeito colateral que deveria ser invisível: se o processamento silencioso não tivesse interferido nos fones Bluetooth, provavelmente o desenvolvedor nunca teria começado a investigar o que o AliExpress executava em segundo plano.
Até a publicação desta matéria, o AliExpress não havia se pronunciado publicamente sobre as descobertas.
Esta postagem foi modificada pela última vez em 26/08/2026 11:52