AliExpress é flagrado usando som inaudível para rastrear visitantes
Site usava a Web Audio API para tocar um som que ninguém ouve e medir como cada aparelho reage a ele, criando uma impressão digital do dispositivo. Pesquisadores do Brave expuseram a prática.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
O AliExpress foi flagrado usando uma técnica de rastreamento pouco comum: em vez de cookies, o site gerava um som inaudível dentro do navegador do visitante e media como o hardware de áudio de cada aparelho processava esse sinal. A prática, batizada de audio fingerprinting, cria uma espécie de "impressão digital" do dispositivo, já que pequenas variações de fabricação em placas de som, drivers e sistema operacional tornam essa resposta praticamente única.
A descoberta começou de um jeito inusitado: o desenvolvedor Matt Callaghan notou que seus fones de ouvido Bluetooth perdiam áudio sempre que uma aba do AliExpress estava aberta. Ao investigar, ele viu que o site criava processos de áudio conectados à saída do sistema com volume zero — por isso nenhum som audível tocava, e os controles de mudo do navegador não tinham efeito algum sobre a coleta.
Segundo o Brave, que publicou um alerta oficial em 22 de agosto, os scripts responsáveis (identificados como collina.js e fireyejs.js, ligados a sistemas antifraude da Alibaba) também coletavam dados de renderização em canvas, WebGL, configurações de tela, comportamento do WebRTC e interações do usuário — tudo combinado para montar um perfil detalhado do aparelho, mesmo sem cookies ou login.
Quem é afetado
Qualquer pessoa que visite o AliExpress pelo navegador, mesmo sem estar logada na conta. A técnica funciona de forma silenciosa e não depende de permissão de microfone — o áudio é gerado e processado inteiramente pelo próprio navegador, sem gravar nada do ambiente do usuário.
Engenheiros da Mozilla classificaram o método como tecnicamente ultrapassado e "quase inútil" hoje em dia, já que navegadores modernos têm defesas cada vez melhores. Ainda assim, o caso reacende a discussão sobre até onde vai o rastreamento comercial sem consentimento claro.
O que fazer agora
- Use um navegador com proteção nativa contra fingerprinting, como o Brave, que bloqueia esse tipo de script há mais de seis anos por padrão;
- Instale extensões anti-rastreamento se usar Chrome, Edge ou Safari sem essas proteções embutidas;
- Mantenha o navegador sempre atualizado, já que as defesas contra fingerprinting evoluem constantemente;
- Considere usar um navegador ou perfil separado só para compras online, sem vincular a contas pessoais ou de redes sociais;
- Não existe um jeito de "desligar" esse rastreamento específico nas configurações do site — a proteção precisa vir do navegador.