Разработчик, изучавший код AliExpress, случайно наткнулся на необычное поведение своих Bluetooth-наушников. Они отказывались переключаться на телефон, пока он был на сайте. Причина оказалась в скрытых скриптах, которые захватили аудиосистему компьютера, хотя никакого звука не воспроизводилось.

©TechJuice

В коде сайта обнаружились два замаскированных скрипта — collina.js и fireyejs.js. Они используют WebAudio API для генерации звуковых сигналов нулевой громкости. Браузер обрабатывает эти сигналы на системном уровне, а на основе микроскопических различий в обработке звука разными компьютерами формируется уникальный цифровой отпечаток устройства.

Этот метод работает, даже если звук в браузере выключен. Скрипты собирают не только аудиоданные, но и информацию о характеристиках экрана, работе графического процессора, мыши и сенсорных событиях. Все это отправляется на серверы Alibaba и позволяет идентифицировать пользователя при повторных визитах, даже если он чистит куки или использует режим инкогнито.

Некоторые браузеры уже защищают от такого отслеживания. Brave на протяжении шести лет по умолчанию блокирует аудио-отпечатки, подставляя случайные данные. Firefox также имеет встроенную защиту. Пользователи этих браузеров могут не беспокоиться — скрипты AliExpress у них не работают. Однако пользователи других браузеров остаются уязвимыми.

Проблема была известна как минимум год — пользователь Reddit сообщал о похожем случае, но широкого резонанса это не вызвало. Теперь, после нового разбирательства, специалисты по безопасности проверяют защиту браузеров от этой конкретной техники.