A Alibaba te ouviu

Matt Callaghan reparou que os fones Bluetooth paravam de tocar áudio do celular toda vez que abria uma aba do AliExpress, mesmo sem vídeo ou som audível na página (som audível parece redundante, mas é esse o grande detalhe de toda a história). Fechar a aba resolvia na hora, e foi isso que o levou a abrir o código.

Ele encontrou dois scripts, collina.js e fireyejs.js, associados ao stack antifraude da Alibaba. Os scripts montam um grafo de áudio silencioso que mede como o navegador processa o sinal e usa o resultado como impressão digital do dispositivo. O mesmo pacote coleta dados de tela e de WebGL, criptografa tudo e envia para os servidores da Alibaba. Em nenhum momento o visitante é informado sobre isso, e a medição não depende de suspeita alguma: acontece para todo mundo que abre a home, sem precisar de conta ou iniciar o processo de compra.

A Alibaba escolheu cobrir cem por cento do tráfego em vez de acionar o fingerprinting só diante de sinal de risco, como IP suspeito ou tentativa repetida de login. A cobertura total mede todo visitante antes de qualquer indício de ameaça existir, e essa amplitude vazou para fora da tela: o grafo de áudio interferia no processamento de som do aparelho a ponto de cortar a reprodução Bluetooth em qualquer visitante. Um efeito colateral audível expôs uma coleta pensada para ser silenciosa.

A coleta em si não surpreende, várias plataformas de comércio fazem algo parecido, inovam toda vez que surge uma proibição ou obstáculo. Mas isso é uma escolha, eles devem ter pesado o custo de deixar uma fraude passar, se essa era realmente a intenção, e o custo de ser descoberta.

---

Fontes: Matt Callaghan (Laserphile) · Tom's Hardware · Cybersecurity News