Comprar pela internet parece uma atividade simples: abrir o site, procurar um produto e, eventualmente, finalizar a compra. Mas, por trás dessa experiência, páginas modernas conseguem observar uma quantidade impressionante de características técnicas do dispositivo. Tela, gráficos, memória, navegador e até o comportamento de determinadas APIs podem revelar informações. No caso do AliExpress, uma investigação descobriu que havia mais uma peça nessa coleta — e ela envolvia algo que normalmente nem percebemos durante a navegação.
Um comportamento estranho chamou atenção
O caso veio à tona quase por acaso, quando Matthew Callaghan, engenheiro de software e especialista em hardware, percebeu que seus fones Bluetooth multiponto começavam a apresentar um comportamento incomum.
Normalmente, os fones conseguiam permanecer conectados simultaneamente ao computador e ao celular. Porém, quando Callaghan abria o AliExpress no Firefox ou no Chrome, o áudio reproduzido pelo telefone deixava de chegar aos fones.
O problema desaparecia assim que a aba do site era fechada.
Havia ainda uma característica particularmente curiosa: não existia música, vídeo ou qualquer conteúdo multimídia visível sendo reproduzido pelo AliExpress.
Callaghan começou então a investigar o que estava acontecendo nos bastidores. Silenciar a aba não resolvia. Nem mesmo silenciar o navegador ou o próprio Windows eliminava o comportamento.
A análise acabou apontando para scripts executados pela página e para uma tecnologia que, em condições normais, está associada a aplicações de áudio diretamente no navegador.
Foi nesse momento que o funcionamento aparentemente banal do site começou a revelar algo muito mais interessante.
O navegador estava processando um sinal que ninguém ouvia
Segundo a investigação, scripts identificados como collina.js e fireyejs.js criavam objetos AudioContext por meio da API Web Audio.
Esses scripts aparentemente geravam uma onda de áudio conhecida e analisavam a maneira como o navegador processava essa informação. O resultado poderia então funcionar como mais uma característica técnica utilizada na identificação de um determinado ambiente.
O detalhe que torna a descoberta especialmente curiosa é que o áudio não precisava ser audível para cumprir essa função.
Depois de processado, o sinal era enviado para a saída de áudio com ganho configurado em zero. Na prática, isso significa que o usuário não deveria escutar absolutamente nada.
Ainda assim, a atividade foi suficiente para interferir no funcionamento dos fones Bluetooth de Callaghan. Ironicamente, o próprio efeito colateral acabou denunciando uma operação que deveria passar despercebida.
A técnica está relacionada ao chamado browser fingerprinting, ou impressão digital do navegador. A ideia não é obter uma impressão digital física, mas reunir diversas características técnicas capazes de diferenciar um dispositivo de outros.
E o áudio era apenas uma pequena parte dessa história.
There is a post making rounds about how a fingerprinting script from Alibaba’s AliExpress interrupted someone’s bluetooth headphone connection. AliExpress was trying trying to discretely track users, but was thwarted by Firefox’s anti-fingerprinting technology.
— Firefox 🔥 (@firefox) August 20, 2026
A impressão digital era muito maior do que o áudio
A investigação indicou que os scripts analisados também verificavam uma série de outras características do ambiente utilizado para navegar.
Entre elas estavam informações relacionadas a Canvas e WebGL, dimensões da tela, quantidade de memória disponível, compatibilidade com diferentes formatos multimídia, WebRTC, tempos de processamento e determinadas interações realizadas pelo usuário.
Individualmente, muitas dessas informações podem parecer pouco relevantes. O problema — ou a utilidade, dependendo do ponto de vista — aparece quando várias delas são combinadas.
Juntas, essas características podem formar um perfil técnico bastante específico, permitindo distinguir diferentes navegadores e dispositivos.
Os scripts identificados durante a análise aparecem relacionados à AWSC, e Callaghan considera que eles podem estar associados a mecanismos de segurança e prevenção de abusos utilizados pelo Alibaba.
A política de privacidade do AliExpress já prevê a coleta automática de determinadas informações técnicas e dados relacionados ao uso do serviço. Entretanto, isso não significa que a empresa tenha declarado especificamente esse experimento com Web Audio, nem permite concluir qual seria a utilização posterior dessas informações.
Também não há, com os dados disponíveis, evidência suficiente para afirmar que o sistema tenha sido utilizado para identificar pessoalmente os usuários ou que tenha violado alguma legislação.
Chrome e Firefox já dificultaram esse tipo de rastreamento
Existe ainda uma importante ressalva. O simples fato de uma página executar uma análise de áudio não significa necessariamente que ela consiga identificar um navegador de maneira altamente precisa.
Firefox e Chrome vêm adotando medidas para reduzir justamente esse tipo de diferença entre dispositivos.
No Firefox, mudanças implementadas a partir da versão 118, lançada em 2023, tornaram os resultados produzidos pelo Web Audio muito mais uniformes. Dados citados pelo desenvolvedor Tom Ritter indicam que 99,24% das medições ficam concentradas em apenas três resultados.
O Google também afirma que medidas incorporadas ao Chrome tornam esse método específico pouco eficaz para fingerprinting.
Mesmo assim, a descoberta é relevante porque mostra como uma página pode explorar características técnicas que normalmente ficam completamente fora da percepção do usuário.
A questão mais intrigante, portanto, não é apenas se o áudio invisível consegue identificar alguém com precisão. É perceber quantas informações um navegador moderno pode revelar enquanto tudo parece estar acontecendo normalmente.
No caso do AliExpress, foram necessários apenas alguns fones Bluetooth agindo de maneira estranha para transformar uma atividade praticamente invisível em uma pista concreta.
E esse talvez seja o aspecto mais curioso de toda a história: enquanto o usuário apenas navegava por uma loja virtual, seu próprio equipamento acabou entregando o que acontecia nos bastidores.
