Scripts do AliExpress teriam usado Web Audio para fingerprinting e interferido no Bluetooth

Uma investigação independente relatou que dois scripts de segurança da Alibaba usados no AliExpress — collina.js e fireyejs.js — criavam gráficos de processamento Web Audio ocultos. Os gráficos seriam inaudíveis porque o ganho final estava definido como zero, mas continuavam conectados a AudioContext.destination, o que poderia manter ativa a sessão de áudio do navegador e produzir dados de renderização específicos do dispositivo.

É importante não exagerar o caso. As evidências fornecidas não confirmam que a Brave tenha feito a descoberta original e também não comprovam uma admissão da Alibaba nem uma decisão de órgão regulador afirmando que a prática foi ilegal.

Como a atividade de áudio foi descoberta

A investigação começou com um problema prático envolvendo Bluetooth: fones com suporte a conexão multiponto não voltavam a direcionar o áudio para o celular enquanto uma aba do AliExpress permanecia aberta. Ao instrumentar a API AudioContext do navegador, o investigador teria encontrado dois contextos de áudio ocultos em execução. A criação deles foi associada ao diretório de segurança AWSC da Alibaba e às famílias de scripts collina.js e fireyejs.js.

Segundo o relato, a cadeia de áudio usava uma forma de onda conhecida, nós de análise e processamento, uma etapa com ganho zero e uma conexão com o destino de áudio. De forma simplificada:

oscilador → análise/processamento → ganho 0 → AudioContext.destination

Um nó com ganho zero impede que o sinal seja ouvido, mas não necessariamente impede que o navegador processe o gráfico. Como ele continua conectado ao destino, o navegador ou o sistema operacional pode tratar a página como se tivesse uma sessão de áudio ativa. Isso oferece uma explicação plausível para o efeito observado no roteamento Bluetooth, embora o material fornecido não demonstre que o comportamento ocorra em todos os navegadores, sistemas operacionais ou fones.

Por que isso pode ser usado para fingerprinting

A renderização de áudio pela Web Audio API pode variar ligeiramente entre dispositivos e ambientes de software. As diferenças podem surgir do navegador, do sistema operacional, das bibliotecas de áudio, dos drivers, do hardware e do processamento numérico.

Um script pode medir o resultado renderizado e usar essas variações como um dos componentes de uma impressão digital do dispositivo, conhecida como fingerprint. A investigação caracterizou os dois arquivos como código ant abuso ou antifraude e relatou que a medição de áudio poderia ser combinada com outros sinais, como canvas, WebGL, tela, navegador e dados relacionados ao hardware.

Essa combinação pode facilitar o reconhecimento de um navegador ou dispositivo que retorna ao site. Porém, as evidências observadas no lado do cliente não mostram como os resultados foram armazenados, associados a uma identidade, mantidos ao longo do tempo ou compartilhados.

A distinção central é esta:

• Volume zero significa que o usuário não deve ouvir o sinal.
• Ausência de processamento de áudio significaria que o gráfico nunca foi executado ou foi desconectado.
• Ausência de rastreamento significaria que o resultado da renderização não foi coletado nem usado para reconhecimento.

São condições diferentes. Um gráfico de áudio silencioso ainda pode realizar cálculos e, dependendo da implementação, expor um resultado de renderização mensurável.

Por que silenciar a aba pode não resolver

Os controles de silêncio de uma aba ou de um site normalmente atuam sobre a saída audível. Eles não necessariamente interrompem o JavaScript da página, suspendem todo AudioContext, desconectam seus nós ou liberam a sessão de áudio mantida pelo sistema operacional.

Por isso, silenciar uma aba do AliExpress pode não resolver esse problema específico. O episódio não indica a existência de uma música, um vídeo ou uma gravação audível escondida. O problema relatado seria o efeito colateral de um gráfico Web Audio conectado à saída e mantido ativo mesmo com o ganho definido como zero.

Um navegador poderia impor restrições mais fortes a gráficos silenciosos conectados à saída, mas isso seria uma escolha de implementação do navegador — não o significado habitual de um controle de silêncio.

O que está em jogo na legislação europeia

O artigo 5(3) da Diretiva ePrivacy da União Europeia trata do armazenamento de informações no equipamento terminal do usuário ou do acesso a informações já armazenadas nele, sujeito a exceções específicas. As orientações técnicas do Comitê Europeu para a Proteção de Dados (EDPB) analisam novas formas de rastreamento a partir de três perguntas: existe informação? A operação envolve um equipamento terminal? Houve armazenamento ou acesso? 17

Esse enquadramento torna o fingerprinting de dispositivos uma questão relevante de privacidade. Ainda assim, aplicar o artigo 5(3) a essa técnica de áudio exigiria uma análise detalhada do que os scripts acessam, quais informações são produzidas e como a operação é utilizada. As orientações do EDPB não constituem uma decisão sobre os scripts do AliExpress, e as fontes fornecidas não comprovam que eles violaram a legislação europeia.

Se o fingerprint resultante puder identificar ou individualizar uma pessoa ou um dispositivo, também podem surgir questões relacionadas à proteção de dados. Entre elas estão transparência, base legal, limitação de finalidade, minimização, retenção e segurança. Classificar o código como antifraude não prova, por si só, que uma exceção de ePrivacy se aplica; ainda seria necessário avaliar a necessidade da operação e a legislação nacional correspondente.

Como reduzir a atividade

Brave

A Brave descreve publicamente mecanismos de defesa contra fingerprinting que reduzem ou randomizam sinais expostos por APIs, incluindo canvas e Web Audio. 15 Esse tipo de proteção pode tornar fingerprints de áudio menos confiáveis, mas não equivale a garantir que todo script antifraude será bloqueado ou que nenhum gráfico de áudio será criado.

Também foram atribuídas à Brave declarações de que os scripts identificados do AliExpress seriam bloqueados por suas proteções. No entanto, o material fornecido não inclui uma publicação primária da Brave confirmando especificamente essa afirmação.

Firefox

As evidências fornecidas não estabelecem se as proteções padrão do Firefox bloqueiam esses scripts específicos de primeira parte. Configurações mais rígidas contra fingerprinting podem reduzir a utilidade de sinais associados ao dispositivo, mas os usuários não devem presumir que as opções gerais de privacidade impeçam o carregamento de todo script antifraude personalizado.

uBlock Origin

O bloqueio no nível da rede é mais direto: se collina.js e fireyejs.js não forem carregados, os scripts não poderão criar os contextos de áudio relatados. Um filtro publicado pela comunidade usou regras correspondentes aos caminhos AWSC relevantes:

||assets.aliexpress-media.com/g/AWSC/uab/*/collina.js$script,domain=aliexpress.com
||assets.aliexpress-media.com/g/AWSC/fireyejs/*/fireyejs.js$script,domain=aliexpress.com

Essas regras podem ficar desatualizadas se o AliExpress alterar domínios, caminhos ou nomes de arquivos. As abas do AliExpress que já estiverem abertas também podem precisar ser fechadas e reabertas para que uma nova regra tenha efeito. O ideal é conferir os caminhos atuais dos recursos, em vez de tratar filtros comunitários como soluções permanentes.

O equilíbrio entre privacidade e antifraude

Os scripts foram descritos como parte da infraestrutura antifraude ou ant abuso da Alibaba. Por isso, bloqueá-los pode afetar o funcionamento do site. Entre as possíveis consequências estão verificações adicionais, problemas de login ou checkout e outras incompatibilidades; as evidências fornecidas não demonstram que a navegação ou as compras sempre deixarão de funcionar.

Uma forma prática de testar é usar um perfil separado do navegador. Se o bloqueio interromper uma função necessária, o usuário poderá decidir se vale a pena permitir esses scripts no site.

A conclusão mais segura é mais específica do que algumas versões do título sugerem: uma investigação relatou que dois scripts associados ao AliExpress executavam processamento Web Audio silencioso, possivelmente com finalidade de fingerprinting, e que isso poderia ter causado um efeito colateral no roteamento Bluetooth. O material não prova que a Brave tenha feito a descoberta original, não mostra como a Alibaba teria armazenado ou usado os dados no servidor e não equivale a uma decisão legal sobre a prática.