Tech · 25 agosto 2026 · 5 min di lettura
Suoni impercettibili per tracciare i browser: AliExpress colta in flagrante con il fingerprinting audio
In sintesi: Il colosso dell'e-commerce AliExpress è stato sorpreso a utilizzare tecniche di fingerprinting acustico basate sulle Web Audio API per identificare in modo univoco i computer dei visitatori. La tecnica genera onde a dente di sega a guadagno zero, invisibili e impercettibili per l'utente, sfruttando le minime variazioni di elaborazione matematica dei processori e dei sistemi operativi per creare un'impronta digitale persistente.
di Team Mocchi's
Il glitch delle cuffie che ha svelato il tracciamento
Spesso le scoperte più rilevanti nel campo della sicurezza informatica nascono da anomalie apparentemente banali nella routine quotidiana. È quanto accaduto al ricercatore di sicurezza Matthew Callaghan, il quale ha notato un comportamento anomalo delle proprie cuffie Bluetooth multipoint: ogni volta che apriva la homepage di AliExpress sul browser del PC, la riproduzione audio proveniente dallo smartphone veniva improvvisamente interrotta.
Le cuffie erano configurate per dare priorità all'audio del computer solo in presenza di un flusso sonoro attivo. Nonostante dal computer non provenisse alcun rumore percepibile, l'apertura della scheda del gigante cinese dell'e-commerce attivava il canale audio del sistema operativo, silenziando il telefono. Come ricostruito da Ars Technica, l'analisi del codice della pagina ha portato alla luce due script pesantemente offuscati, incaricati di eseguire un'operazione di profilazione hardware silenziosa ed estremamente invasiva.
Come funziona l'impronta acustica via Web Audio API
La tecnica individuata su AliExpress sfrutta la Web Audio API, uno standard web concepito per consentire agli sviluppatori di sintetizzare, elaborare e riprodurre elementi sonori complessi direttamente all'interno delle applicazioni web. Gli script malevoli istanziano un grafo audio contenente un oscillatore che genera una forma d'onda nota, nello specifico un'onda a dente di sega (sawtooth wave).
Il segnale viene inviato a un modulo di analisi della frequenza, ma prima di raggiungere l'uscita audio reale il guadagno (gain) viene impostato esattamente a zero. In questo modo l'utente umano non avverte alcun suono, ma il sottosistema audio del browser e del sistema operativo è comunque costretto a processare la pipeline matematica del segnale.
Poiché le implementazioni delle librerie matematiche a virgola mobile, i driver audio e le architetture hardware dei processori presentano impercettibili discrepanze nel calcolo dei valori delle frequenze, l'output elaborato produce un valore numerico quasi univoco. Questo valore, combinato con i dati del dispositivo, genera un'impronta digitale (fingerprint) in grado di riconoscere la macchina nel tempo, aggirando i consueti blocchi ai cookie di terze parti o la navigazione in incognito.
Una dozzina di vettori: l'arsenale del fingerprinting moderno
L'audio fingerprinting non è una novità assoluta: introdotto nella ricerca accademica oltre un decennio fa, era progressivamente caduto in disuso proprio a causa delle contromisure introdotte dai principali browser moderni. Tuttavia, l'indagine ha dimostrato come AliExpress non si limiti all'audio, ma combini oltre una dozzina di parametri per comporre il profilo del visitatore.
Tra i vettori rilevati negli script del portale figurano il rendering su Canvas tramite toDataURL(), l'interrogazione delle estensioni e della precisione degli shader WebGL, la risoluzione dello schermo e il device pixel ratio, la memoria di sistema dichiarata, la concorrenza hardware della CPU, l'enumerazione dei plugin installati e il comportamento delle connessioni WebRTC. Questa stratificazione di segnali ridondanti garantisce alla piattaforma di mantenere un'identificazione affidabile anche quando uno o più meccanismi di rilevamento vengono neutralizzati.
La risposta dei browser e i limiti tecnici dell'exploit
La persistenza di queste tecniche mette in luce l'incessante gioco a rimpiattino tra le piattaforme di tracciamento e gli sviluppatori dei motori di navigazione. Già a partire dal 2023, con il rilascio della versione 118, Mozilla Firefox ha introdotto librerie matematiche interne costanti, eliminando la dipendenza da quelle fornite dal sistema operativo sottostante e riducendo l'entropia del segnale acustico a un livello tale da rendere inefficace il fingerprinting audio.
Anche Google Chrome e Safari integrano da tempo difese strutturali analoghe per isolare i calcoli matematici del Web Audio da discrepanze hardware facilmente indicizzabili. L'utilizzo di script legacy e obsoleti da parte di grandi portali di e-commerce dimostra tuttavia come molti attori commerciali preferiscano mantenere attivi vecchi vettori di tracciamento nella speranza di raccogliere dati da browser non aggiornati, app WebView incorporate o dispositivi legacy privi di patch recenti.
Il punto di Mocchi's
La vicenda di AliExpress evidenzia quanto il confine tra prevenzione delle frodi e tracciamento occulto rimanga labile nel commercio elettronico su larga scala. Per le aziende europee e per chi sviluppa software custom, l'impiego di fingerprinting aggressivo senza consenso esplicito rappresenta una violazione diretta dei principi del GDPR e delle direttive ePrivacy, esponendo i brand a rischi sanzionatori e reputazionali devastanti. Quando progettiamo architetture web moderne, la sicurezza e la difesa anti-bot devono fare affidamento su approcci crittografici trasparenti, standard di autenticazione verificabili e algoritmi comportamentali rispettosi della privacy, anziché su espedienti intrusivi destinati a essere bloccati dai browser.