AliExpress тайно тестирует аудиоотпечатки пользователей
Разработчик Мэтт Каллаган заметил необъяснимый сбой в работе своих Bluetooth-наушников с поддержкой мультипоинт: каждый раз при открытии AliExpress в Firefox или Chrome музыка на смартфоне мгновенно затихала и возвращалась только после закрытия вкладки. На странице не было ни видеороликов, ни аудиоплееров, а отключение звука в браузере или системе не давало эффекта. Заинтригованный аномалией, инженер углубился в код и наткнулся на два сильно запутанных скрипта, входящих в антифрод-механизмы Alibaba. Они генерировали неслышимый пилообразный сигнал через Web Audio API и фиксировали микроскопические искажения при его прохождении через аудиосистему устройства — эти погрешности превращались в уникальный цифровой ключ, позволяющий отличать один браузер от другого с точностью до модели процессора и версии драйверов.
Но скрытый аудиотест оказался лишь частью масштабного комплекса по сбору данных. В том же коде обнаружились модули для съёма разрешения экрана, объёма оперативной памяти, списка установленных плагинов, хешей WebGL, Canvas и WebRTC, а также трекеры движений мыши и касаний, проверяющие, не имитирует ли поведение пользователя автоматизированный бот. Все параметры шифруются и отправляются на серверы Alibaba, формируя плотный «отпечаток» устройства, который практически невозможно сбросить через очистку cookies или смену IP. По сути, каждый визит на площадку превращается в негласную диагностическую сессию, где браузер добровольно (и незаметно) сдаёт десятки технических характеристик.
Реакция создателей браузеров показала, насколько по-разному можно противостоять таким методам. В Firefox 118 защита работает через унификацию: алгоритм сводит результаты аудиотеста к трём стандартным группам, и лишь 48 пользователей по всему миру выпали в уникальные категории из-за редких аппаратных ошибок. Brave подмешивает случайный шум в аудиоданные, причём для каждого сайта этот шум уникален, а между сессиями обнуляется, плюс скрипты AliExpress там заблокированы по умолчанию. Safari вносит намеренные искажения в аудиобуфер. А вот Chrome остаётся самым прозрачным для фингерпринтинга — там нет встроенной агрессивной защиты, и злоумышленники могут использовать десятки подобных техник практически без помех.
Показательно, что Alibaba хранит молчание, хотя технология уже обходит видимые элементы интерфейса и работает в обход сознательного согласия пользователя. Это поднимает неприятный вопрос: где проходит грань между борьбой с мошенничеством и тотальным наблюдением, о котором человек даже не подозревает? В отличие от cookies, которые можно удалить, аппаратно-программный слепок остаётся с устройством до его замены. Единственный практичный вывод для рядового пользователя сегодня — использовать браузеры с активной антифингерпринтной защитой, но системное решение этой проблемы требует не технических ухищрений, а чётких законодательных ограничений на сбор подобных данных без явного уведомления.