--- title: "AliExpress é associado a técnica que identifica navegadores usando sons inaudíveis" author: "Gabriela P. Torres" date: "2026-08-25 09:00:00-03" category: "Segurança & Privacidade" url: "http://desbugados.scale.press/portal/desbugados/post/2026/08/25/aliexpress-e-associado-a-tecnica-que-identifica-navegadores-usando-sons-inaudiveis/md" --- ## Resumo - O AliExpress foi associado ao uso da Web Audio API para processar áudio inaudível no navegador. - O ganho do sinal era configurado em zero, impedindo que o usuário escutasse o áudio gerado. - A descoberta ocorreu após Matthew Callaghan notar problemas na alternância de seus fones Bluetooth entre o computador e o telefone. - A técnica mede variações internas de processamento ligadas ao dispositivo, sem usar o microfone ou depender de cookies. - Os scripts collina.js e fireyejs.js foram relacionados a ferramentas de antiabuso da Alibaba. - Além do áudio, a impressão digital pode reunir informações sobre tela, memória, plugins, WebGL e WebRTC. - Firefox e Brave informaram proteções, enquanto filtros no uBlock Origin podem causar CAPTCHAs extras ou falhas em login e checkout. --- Em agosto de 2026, o **AliExpress** foi associado ao uso de uma técnica de browser fingerprinting, ou impressão digital do navegador, baseada em áudio inaudível processado dentro do próprio dispositivo. A investigação do pesquisador **Matthew Callaghan** identificou scripts que geravam um sinal por meio da Web Audio API e analisavam as leituras produzidas durante esse processamento. O ganho do áudio estava configurado em zero, portanto o visitante não deveria escutar o sinal, mas o navegador ainda poderia executar os cálculos necessários para medi-lo. O objetivo desta matéria é desbugar a sequência inteira: qual foi a pista inicial, como o sinal silencioso pode diferenciar dispositivos e quais opções de proteção foram documentadas. ## A pista apareceu em um problema com fones Bluetooth A descoberta não começou com uma janela de permissão de microfone nem com um arquivo de áudio reproduzido de forma perceptível. A pista surgiu quando **Matthew Callaghan** percebeu que seus fones de ouvido Bluetooth, compatíveis com o recurso de multiponto, não conseguiam alternar para o áudio do telefone enquanto a página do AliExpress permanecia aberta no computador. O multiponto permite que o mesmo fone mantenha conexão com mais de um dispositivo, mas, naquele teste, a página aberta no PC estava associada a um comportamento que interferia nessa troca. A observação levou o pesquisador a examinar o que o site executava no navegador, conectando um sintoma cotidiano a uma rotina que não aparecia para o usuário. Essa sequência importa porque transforma uma sensação estranha, o fone que não muda de fonte, em um indício técnico verificável. Se a página estivesse apenas exibindo produtos, então a alternância de áudio não deveria ser a pista que conduzisse à investigação; como havia processamento de áudio ativo no navegador, o comportamento ganhou uma explicação possível. A apuração publicada pela [Ars Technica](https://arstechnica.com/security/2026/08/aliexpress-caught-fingerprinting-visitors-after-sending-inaudible-sounds-to-browsers) descreveu justamente essa relação entre a página aberta e a atividade detectada. O ponto não é afirmar que todo problema de Bluetooth tenha essa causa, mas mostrar como a investigação encontrou uma operação invisível a partir de um efeito observável. ## Como um som inaudível produz uma impressão digital A peça técnica central é a **Web Audio API**, uma interface do navegador usada, neste caso, para criar e processar sinais de áudio. Os scripts associados ao site geravam uma forma de onda chamada oscilador de dente de serra, configuravam o ganho em zero e encaminhavam o sinal para uma etapa de medição. Ganho é o controle que determina o nível do sinal; quando ele fica em zero, o resultado deixa de ser audível para o usuário, mas isso não significa que todas as operações matemáticas deixem de ocorrer. Se o navegador ainda calcula o sinal, então essas contas podem ser observadas mesmo quando os alto-falantes permanecem silenciosos. O resultado procurado não é uma gravação, mas uma combinação de pequenas diferenças no modo como o sistema processa aquele sinal. A variação pode depender do **processador**, do sistema operacional e dos drivers, que são os softwares responsáveis pela comunicação entre o sistema e determinados componentes. Em conjunto, essas diferenças formam uma espécie de assinatura técnica do dispositivo. O nome fingerprinting descreve esse procedimento de reunir características do ambiente de navegação para reconhecer uma máquina sem depender exclusivamente de cookies, pequenos arquivos usados por sites para guardar identificadores no navegador. O detalhe que costuma confundir a leitura do caso é a palavra áudio. Aqui, áudio não significa que o site abriu o microfone e capturou conversas, ruídos ou música do ambiente. Segundo a investigação, o navegador gera um sinal internamente e mede as pequenas variações produzidas pelo hardware e pelo software ao processá-lo. Se não há gravação externa, então o risco discutido é outro: a identificação técnica do dispositivo por meio de uma tarefa silenciosa. A diferença muda a pergunta que o usuário precisa fazer, porque não basta verificar permissões de microfone quando o mecanismo opera dentro do processamento do navegador. ## O áudio é apenas uma parte da identificação A investigação também encontrou dois nomes nos scripts associados à atividade: **collina.js** e **fireyejs.js**. De acordo com o relatório, eles fazem parte de ferramentas de antiabuso da Alibaba, isto é, mecanismos destinados a ajudar o serviço a distinguir acessos considerados legítimos de comportamentos que possam ser tratados como abuso. Essa finalidade declarada ajuda a explicar por que uma plataforma de comércio eletrônico teria interesse em identificar dispositivos, mas não elimina a necessidade de examinar quais dados são coletados e como o visitante é informado. Se o argumento é prevenção de abuso, então a análise precisa separar a finalidade alegada do funcionamento efetivamente observado. Além do processamento de áudio, o conjunto descrito inclui informações sobre a **tela** e a memória do dispositivo. Esses dados não aparecem isolados na impressão digital: eles são combinados com outras leituras para formar um perfil técnico mais difícil de repetir por acaso. A tela pode diferenciar configurações de uso, enquanto a memória acrescenta outra característica do ambiente em que o navegador está funcionando, sem que a investigação precise tratar esses parâmetros como conteúdo pessoal tradicional. O efeito prático é que o visitante não está sendo identificado por uma única pista, mas por várias medidas reunidas pela página. O relatório menciona ainda os **plugins do navegador** e o WebGL, recurso usado pelo navegador para lidar com determinados gráficos. Cada item acrescenta uma camada à descrição técnica do ambiente, e a conclusão não depende de um único resultado de áudio. Se uma característica mudar, então outras podem continuar compondo a identificação; se várias forem observadas ao mesmo tempo, então o site obtém mais elementos para comparar acessos. A investigação também cita o WebRTC como parte das informações coletadas, ampliando o conjunto de parâmetros usados para reconhecer o dispositivo. ## O que Firefox e Brave fazem com essa técnica A resposta dos navegadores aparece em duas frentes diferentes. O **Firefox** afirmou que as proteções introduzidas na versão 118 tornam a técnica de áudio praticamente ineficaz ao padronizar as bibliotecas matemáticas utilizadas. A lógica é direta: se diferentes dispositivos recebem operações matemáticas padronizadas, então as pequenas diferenças que alimentariam a impressão digital perdem valor como elemento de distinção. Não se trata de tornar o áudio inaudível, porque o ganho já estava em zero, mas de reduzir a utilidade da medição feita nos bastidores. O **Brave**, por sua vez, comunicou que bloqueia nativamente os scripts do AliExpress responsáveis por essa atividade de rastreamento. A abordagem é diferente da adotada pelo Firefox: em vez de depender apenas da padronização dos cálculos, o bloqueio impede que os scripts identificados executem a rotina descrita. Para o leitor, a diferença é prática. Se o navegador neutraliza a técnica durante o processamento, o áudio pode até ser gerado, mas deixa de produzir a mesma informação; se o navegador bloqueia os scripts, a rotina associada ao site nem sequer deveria ser executada da forma reportada. ## O que o usuário pode fazer sem confundir proteção com acesso O primeiro passo é interpretar corretamente o que foi descoberto. Fechar a permissão do microfone não responde diretamente a essa técnica, porque a investigação descreve um sinal gerado dentro do navegador, não a gravação de áudio externo. A proteção documentada depende da forma como o navegador trata o processamento e os scripts da página. Por isso, usuários interessados em reduzir essa coleta podem considerar navegadores que informaram medidas específicas, como o Firefox, com a proteção mencionada a partir da versão 118, e o Brave, que declarou bloquear os scripts associados. Outra alternativa documentada é o bloqueio manual usando o **uBlock Origin**. O pesquisador Matthew Callaghan publicou instruções para adicionar filtros específicos contra os scripts de rastreamento AWSC do AliExpress, e uma publicação que detalha essa possibilidade pode ser consultada no [relato sobre o bloqueio dos scripts](https://borncity.com/blog/2026/08/22/alibaba-website-mit-fingerprinting-verhindert-bluetooth-headset-handover/). A medida, porém, tem uma condição operacional: os próprios mecanismos classificados como antiabuso podem ser necessários para determinadas etapas do site. Se o filtro bloquear essa camada, então o usuário pode encontrar CAPTCHAs adicionais ou falhas durante o login e o checkout. ## A caixa de ferramentas para entender o caso A forma mais precisa de resumir o episódio é separar três perguntas. Primeiro, o site foi associado a scripts que geravam um sinal de áudio com ganho zero e analisavam seu processamento. Segundo, essa análise não dependia do microfone, mas de diferenças internas entre hardware e software. Terceiro, o áudio fazia parte de um conjunto maior de parâmetros, que incluía dados da tela, da memória, dos plugins, do WebGL e do WebRTC. Essa divisão evita dois erros opostos: tratar qualquer som inaudível como espionagem de conversas ou imaginar que o silêncio do sinal significa ausência de coleta técnica. O próximo passo depende da prioridade de cada pessoa. Quem busca uma proteção já informada pelo navegador pode verificar as medidas declaradas pelo Firefox e pelo Brave; quem prefere controlar filtros pode recorrer ao uBlock Origin, sabendo que o bloqueio pode aumentar CAPTCHAs ou atrapalhar login e checkout. A conclusão prática é quase forense: o ganho zero explica por que o usuário não escuta nada, a Web Audio API explica onde o processamento ocorre e a impressão digital explica por que uma página pode tentar reconhecer o dispositivo sem usar cookies. O silêncio, neste caso, não é prova de que nada aconteceu; é justamente a característica que torna a investigação difícil de perceber sem examinar o navegador.