AliExpress usa áudio silencioso para rastrear e identificar usuários na web

O que parecia um erro bobo de Bluetooth — fones multiponto não alternavam entre computador e celular — acabou revelando um mecanismo de rastreamento discreto escondido no código-fonte do AliExpress. Um desenvolvedor, investigando por que o áudio do navegador não conseguia trocar de dispositivo, descobriu que a página do marketplace executava scripts de processamento de áudio Web Audio API configurados em volume zero. Nada era audível, mas o sinal era suficiente para criar um identificador único do dispositivo.

O que foi encontrado

Os scripts do AliExpress geravam uma onda sonora fixa e inaudível, direcionada ao caminho de áudio do sistema. Mesmo com o volume do navegador silenciado, o gráfico de processamento Web Audio permanecia conectado à saída de áudio, mantendo o caminho ativo em segundo plano. A página media as mínimas variações na forma como o hardware de som do dispositivo respondia ao mesmo sinal — diferenças modeladas pelo processador, drivers de áudio, sistema operacional e próprio navegador.

Esse mecanismo é uma variante de browser fingerprinting: em vez de cookies, a identificação se baseia em como o dispositivo processa fisicamente um sinal idêntico. A combinação dessas medições de áudio com outras coletadas pelo mesmo script — renderização canvas, WebGL, configurações de display, configuração de hardware, comportamento WebRTC e interações do mouse — cria um perfil de dispositivo significativamente mais detalhado do que qualquer sinal isolado poderia fornecer.

O problema só foi percebido porque os fones de ouvido Bluetooth multiponto do desenvolvedor paravam de alternar corretamente entre o computador e o smartphone enquanto a aba do AliExpress estava aberta. Ao fechar a aba, o comportamento retornava ao normal — o que levou à descoberta dos scripts ocultos.

O contexto: o fim dos cookies

Essa prática se insere em uma tendência mais ampla do setor. À medida que regulamentos como o GDPR e a LGPD, somados às políticas de navegação privada do Safari e do Chrome, tornam os cookies de terceiro parties progressivamente menos confiáveis, as empresas de internet estão migrando para técnicas alternativas de rastreamento. O fingerprinting de navegador já existe há anos, mas as técnicas evoluíram significativamente.

Estudos anteriores citados pela Malwarebytes demonstraram que, em mais da metade dos casos investigados, as escolhas dos usuários sobre consentimento de cookies eram ignoradas. O fingerprinting de áudio adiciona outra camada de preocupação porque funciona independentemente de cookies, limpar o histórico ou usar modo anônimo — a própria resposta física do hardware é o identificador.

A resposta da indústria

A Brave Software foi a primeira a chamar a atenção publicamente para o comportamento do AliExpress, em 22 de agosto de 2026, publicando uma análise detalhada nas redes sociais. O navegador Brave já bloqueia esses scripts por padrão, tendo implementado proteções contra fingerprinting de áudio há mais de seis anos. Segundo a empresa, suas proteções alteram determinadas saídas do navegador para que os sites recebam sinais de fingerprinting inconsistentes em vez de identificadores estáveis.

A empresa também estendeu proteções similares contra fingerprinting de GPU — outra técnica que usa o hardware gráfico e o comportamento dos drivers para identificar dispositivos. A Brave alerta que essas técnicas continuarão evoluindo, pois plataformas comerciais buscam constantemente novas formas de distinguir usuários e dispositivos.

O que significa para os usuários

Para o usuário comum, esse episódio ilustra um dilema de segurança cibernética cada vez mais presente: empresas como a AliExpress argumentam que essas técnicas são legítimas para prevenção de fraude, detecção de bots e avaliação de risco — funcionalidades que realmente ajudam a proteger transações. Ao mesmo tempo, os usuários raramente sabem que esse rastreamento está ocorrendo e têm controle muito limitado sobre ele.

A recomendação de especialistas de segurança inclui o uso de bloqueadores de conteúdo como o uBlock Origin para limitar as informações que os sites podem coletar, manter o navegador sempre atualizado, e considerar o uso de perfis de navegação separados para serviços de compras online. A própria Brave recomenda manter o navegador atualizado, pois os desenvolvedores continuamente ajustam as defesas contra técnicas de fingerprinting.

A questão que fica é se o equilíbrio entre segurança financeira e privacidade do usuário está sendo alcançado quando plataformas coletam dados identificáveis sem notificação clara ou consentimento explícito — e se as proteções individuais contra fingerprinting serão suficientes à medida que as técnicas se tornam cada vez mais sofisticadas.

Fontes: The Register, Malwarebytes, TechSpot, Brave Software

✓ Fontes independentes cruzadas e verificadas antes da publicação