Een ontwikkelaar die vreemde storingen met zijn koptelefoon onderzocht, heeft ontdekt dat AliExpress het audiosysteem van je browser gebruikt als onderdeel van een uitgebreide methode om apparaten te fingerprinten.
De ontwikkelaar, die onder de alias ‘Laserphile’ werkt, merkte dat muziek die vanaf zijn telefoon werd afgespeeld stopte zodra hij de homepage van AliExpress opende in Chrome of Firefox. Zodra hij het AliExpress-tabblad sloot, was het probleem direct verholpen. Dit terwijl er geen hoorbaar geluid, video of andere zichtbare media op de website werden afgespeeld.
Uit verder onderzoek bleek dat de homepage van AliExpress twee verborgen Web Audio-contexten aanmaakt met behulp van sterk versluierde scripts die op de infrastructuur van AliExpress worden gehost. De scripts genereren een geluidsgolf, analyseren hoe de browser en het apparaat deze verwerken en sturen de audio vervolgens door een volumeregeling die op nul staat. Met andere woorden: je hoort niets, terwijl je computer wel actief audio verwerkt.
De techniek lijkt onderdeel te zijn van een veel uitgebreidere browserfingerprint. De scripts verzamelen of meten ook informatie over canvas- en WebGL-rendering, schermafmetingen, hardware, browserplug-ins, WebRTC, prestaties, muis- en aanraakactiviteit en bewegingen van het apparaat. Er werd bovendien code gevonden waarmee de verzamelde informatie kan worden versleuteld en naar de telemetriediensten van Alibaba kan worden verstuurd.
Met browserfingerprinting kunnen websites afzonderlijke apparaten herkennen, zelfs wanneer traditionele identificatiemiddelen zoals cookies niet beschikbaar zijn. De techniek kan bovendien worden gebruikt om gebruikers op meerdere apparaten te volgen. In het geval van AliExpress maakt de technologie mogelijk deel uit van systemen voor fraudepreventie en botdetectie. De ontwikkelaar kon echter niet vaststellen waarvoor de verzamelde informatie precies wordt gebruikt of hoelang deze op de servers van Alibaba wordt bewaard.
Chinese websites staan bekend om hun agressieve manieren om gebruikers te volgen. Eerder bespraken we al de betrouwbaarheid van de populaire budgetwebshop Temu. Ook het in China ontwikkelde AI-model DeepSeek werd voor overheidsfunctionarissen verboden in België uit angst voor mogelijke spionage.
