אליאקספרס השתמשה באות שמע לעקוב אחר המשתמשים

מפתח תוכנה גילה במקרה מנגנון מעקב באתר AliExpress, לאחר שהאוזניות שלו הפסיקו לנגן מוזיקה בכל פעם שפתח את האתר במחשב.

לפי הבדיקה שביצע, האתר הפעיל ברקע את WebAudio API של הדפדפן, ויצר אות שמע בעוצמה אפסית שהמשתמש אינו אמור לשמוע. חשוב להדגיש: לפי הממצאים, לא מדובר בהקלטה של המשתמש או בהאזנה דרך המיקרופון.

המטרה הייתה למדוד כיצד המחשב מעבד את אות השמע. הבדלים קטנים בין דפדפנים, מערכות הפעלה, רכיבי חומרה וספריות אודיו יכולים ליצור תוצאה מעט שונה - ולהפוך לעוד רכיב בזיהוי המכשיר.

השיטה הזו מכונה Fingerprinting, או "טביעת אצבע" דיגיטלית. בניגוד ל-Cookies, היא אינה נשענת על קובץ שנשמר במחשב, אלא על שילוב של מאפיינים טכניים כמו מסך, חומרה, גרפיקה, רשת, תנועות עכבר ואופן השימוש באתר.

לפי המפתח, מנגנון האודיו היה רק חלק ממערך רחב יותר שכלל גם בדיקות Canvas ו-WebGL, נתוני חומרה, WebRTC, מידע רשת וסימנים שעשויים להעיד על שימוש בכלי אוטומציה. לדבריו, הנתונים נשלחו לשרתי הטלמטריה של Alibaba.

ייתכן של-AliExpress יש שימושים לגיטימיים במנגנוני זיהוי כאלה, כמו מאבק בהונאות, חשבונות מזויפים וניצול לרעה של קופונים. עם זאת, המקרה מדגיש עד כמה אתרים יכולים לזהות משתמשים גם בלי לבקש הרשאה מפורשת ובלי להשתמש בעוגיות.

באופן אירוני, דווקא הניסיון לפעול בשקט חשף את המנגנון: האוזניות זיהו פעילות אודיו מהמחשב, עצרו את המוזיקה שהתנגנה מהטלפון - והובילו את המפתח לבדוק מה באמת קורה מאחורי הקלעים.