¿Cómo usaba AliExpress audio inaudible para reconocer tu dispositivo?

AliExpress podía utilizar el sistema de audio del navegador para obtener una señal más con la que reconocer las características de un dispositivo, incluso cuando el usuario no escuchaba absolutamente nada. El mecanismo descubierto en su web generaba una onda mediante Web Audio, analizaba pequeñas diferencias en la forma de procesarla y combinaba esos resultados con otros datos del navegador y del equipo. Dicho de otra manera: el sonido no era el mensaje; la respuesta de la máquina al sonido era el dato.

Hay un matiz esencial porque la historia se presta fácilmente al titular de película de espías. AliExpress no activaba el micrófono ni grababa conversaciones mediante este sistema. Tampoco hay pruebas de que lanzara ultrasonidos por la habitación para comunicarse con otros aparatos. El procesamiento se realizaba dentro del navegador, con el volumen final a cero, y servía como una pieza de una técnica conocida como browser fingerprinting, o huella digital del navegador.

Unos auriculares Bluetooth destaparon lo que ocurría

El hallazgo nació de una avería minúscula, de esas que normalmente terminan con alguien apagando y encendiendo el Bluetooth y culpando a Windows.

El desarrollador Matt Callaghan utilizaba unos auriculares con conexión multipunto, capaces de estar enlazados simultáneamente con su ordenador y su teléfono. El sistema funcionaba con normalidad hasta que abría AliExpress en Firefox o Chrome. Poco después, el audio del móvil dejaba de recuperar los auriculares correctamente. Cerraba la pestaña de AliExpress y todo volvía a funcionar.

La web no mostraba vídeos reproduciéndose, música ni anuncios sonoros. Silenciar la pestaña tampoco solucionaba el problema. Ni siquiera bajar el volumen de Windows cambiaba sustancialmente el comportamiento. Algo estaba manteniendo activa la ruta de audio del ordenador, solo que el usuario no podía oírlo.

Al revisar lo que ejecutaba la página aparecieron dos contextos de Web Audio creados desde scripts relacionados con la infraestructura de seguridad de Alibaba, identificados como collina.js y fireyejs.js. Ambos construían pequeños circuitos digitales de procesamiento de sonido en segundo plano.

Una onda que se genera, se mide y después se silencia

El funcionamiento resulta más sencillo de entender de lo que sugieren los nombres técnicos. La página genera una señal conocida —en las pruebas apareció un oscilador de onda de sierra— y hace pasar esa señal por diferentes componentes de la API Web Audio. Un analizador examina posteriormente el resultado.

Al final del circuito existe un control de ganancia configurado a cero. De ahí el silencio. El navegador trabaja con el audio, pero el usuario no lo oye.

Lo interesante viene antes de poner ese volumen a cero. Dos ordenadores aparentemente iguales no siempre realizan los cálculos de sonido exactamente del mismo modo. Influyen la arquitectura del procesador, el sistema operativo, el navegador, determinadas bibliotecas matemáticas y los controladores. Son diferencias diminutas, casi polvo digital, pero mensurables.

Si se envía la misma señal a miles de máquinas y se observa cómo la procesa cada una, el resultado puede aportar información para distinguir grupos de dispositivos. Por sí sola, esa medición no equivale necesariamente al DNI de un ordenador. Combinada con muchos otros parámetros, gana valor identificativo.

La verdadera cuestión es la huella digital sin cookies

El código analizado no se limitaba al sonido. También consultaba o medía información relacionada con WebGL, canvas, resolución de pantalla, densidad de píxeles, procesador, memoria, formatos multimedia, WebRTC y rendimiento del navegador, entre otros elementos.

Ahí aparece el concepto importante: la huella digital del navegador.

Las cookies colocan un identificador en el dispositivo y después permiten reconocerlo cuando regresa. La huella digital funciona de una manera distinta. En lugar de dejar una etiqueta, observa muchas características que el navegador ya expone y construye con ellas una especie de silueta técnica.

Imagine dos coches aparcados de noche. No vemos la matrícula, pero uno tiene un arañazo en el retrovisor, una llanta distinta, una luz ligeramente amarilla y una pegatina en el cristal. Ninguno de esos rasgos basta por sí solo. Juntos empiezan a señalar un vehículo concreto.

En internet ocurre algo parecido. Una determinada resolución, una versión del navegador, cierto comportamiento gráfico, un número de núcleos, unos resultados matemáticos y una respuesta concreta del subsistema de audio pueden formar una combinación bastante característica.

Por eso borrar las cookies no elimina necesariamente todas las posibilidades de reconocimiento. El fingerprinting intenta identificar el entorno desde el que se navega observando sus rasgos, no únicamente leyendo un archivo almacenado anteriormente.

No está demostrado que el audio identificara por sí solo a cada usuario

Conviene bajar aquí medio tono al relato. No se ha demostrado que la medición de Web Audio encontrada en AliExpress permitiera asignar por sí misma una identidad única y permanente a cada visitante. De hecho, las diferencias de audio pueden ser mucho menos específicas de lo que sugiere la palabra “huella”.

Su utilidad aparece cuando se mezcla con el resto.

El análisis del código mostraba una recopilación bastante más amplia de señales y funciones para serializar y transmitir resultados hacia servicios de Alibaba. Lo que puede comprobarse desde el navegador es que esas mediciones existían y formaban un conjunto compatible con técnicas de fingerprinting.

Lo que ocurre después en los servidores —durante cuánto tiempo se conserva esa información, cómo se relaciona con una cuenta o si se emplea para seguir al mismo dispositivo en distintos servicios— no puede determinarse únicamente inspeccionando el código que recibe el usuario.

Tampoco está acreditado que el propósito principal fuera publicitario. Los scripts aparecen vinculados a herramientas de seguridad y prevención del abuso, un terreno donde la identificación de dispositivos tiene usos bastante prosaicos: detectar bots, cuentas falsas, fraudes de pago, abuso de cupones, automatizaciones o intentos de saltarse controles.

La tecnología, como tantas veces, no lleva escrito el propósito en la frente. El mismo fingerprint puede servir para combatir un fraude o para seguir con demasiada precisión a un visitante. El conflicto está precisamente ahí.

Mozilla ya había visto algo extraño en AliExpress

La parte más llamativa de la historia es que el comportamiento no apareció de la nada en agosto de 2026.

Un informe abierto en el sistema de errores de Mozilla hacía aproximadamente dos años ya describía que páginas de AliExpress mantenían una solicitud de audio activa en Windows 11 aunque aparentemente no estuvieran reproduciendo sonido. Aquello podía incluso impedir que el equipo entrara normalmente en reposo.

Durante la investigación, un desarrollador de Mozilla examinó la actividad de Web Audio de AliExpress y encontró osciladores, analizadores y nodos conectados a la salida con la ganancia establecida en cero. Aquel uso de la API encajaba con una posible técnica de fingerprinting.

Es decir, el problema de los auriculares no inventó el fenómeno. Lo hizo visible de una manera casi cómica.

Durante años, el código podía trabajar discretamente al fondo del navegador. Bastó que unos auriculares Bluetooth se negaran a cambiar de dispositivo para que alguien tirara del hilo.

Por qué silenciar la pestaña no bastaba

Normalmente asociamos el sonido de una web con un vídeo, una canción, un anuncio o cualquier elemento multimedia que el navegador puede mostrar como reproducción activa. Pulsamos el icono del altavoz, silencio y asunto terminado.

En este caso no había un reproductor convencional que callar.

Los scripts creaban directamente un AudioContext, es decir, un entorno de procesamiento de sonido proporcionado por el navegador. Aunque la salida audible terminara multiplicada por cero, el grafo continuaba conectado al dispositivo de audio y podía seguir ejecutándose.

Para los oídos, silencio. Para el ordenador, actividad.

Ese detalle explica el comportamiento de los auriculares multipunto. El PC parecía continuar ocupando la ruta de audio y los cascos no regresaban limpiamente al teléfono. Cerrada la pestaña, desaparecía la interferencia.

El efecto resulta especialmente revelador porque convirtió una operación invisible en algo físico. El usuario no vio una ventana, un permiso ni una advertencia; simplemente sus auriculares dejaron de comportarse como debían.

No, AliExpress no estaba escuchando por el micrófono

La distinción merece quedar cristalina. Web Audio puede sonar a “una web utiliza audio para espiarme”, pero el mecanismo analizado no necesitaba escuchar el entorno.

No se encontró activación del micrófono para realizar esta medición. La página generaba internamente su propia señal y estudiaba cómo era procesada. Es una prueba de salida y cálculo, no una grabación de entrada.

Tampoco debe confundirse con los llamados beacons ultrasónicos, señales acústicas de alta frecuencia que históricamente se han estudiado para relacionar televisores, móviles u otros dispositivos próximos. Aquí no era necesario llenar la habitación de sonidos que una persona no pudiera percibir.

La onda podía ser inaudible sencillamente porque el volumen final estaba fijado en cero. El procesamiento continuaba dentro del navegador.

La diferencia no convierte el caso en irrelevante. Al contrario: muestra hasta qué punto un navegador moderno expone piezas del ordenador que pueden utilizarse para deducir información sin solicitar permisos tan evidentes como los del micrófono o la cámara.

Los navegadores llevan años peleando contra estas huellas

El fingerprinting no es una técnica nueva y fabricantes de navegadores llevan tiempo intentando reducir su precisión. Firefox, por ejemplo, dispone de protecciones que limitan o alteran determinados datos que las páginas pueden utilizar para distinguir dispositivos.

Entre esas defensas está la introducción de variaciones en ciertos resultados o la reducción de la precisión de determinadas características. La idea es sencilla: si cien ordenadores responden de manera suficientemente parecida, resulta más complicado individualizar a uno.

Ese juego del gato y el ratón nunca es perfecto. Bloquear demasiada información puede romper páginas legítimas; permitir demasiada convierte el navegador en un escaparate de pequeñas peculiaridades técnicas.

Canvas, WebGL, fuentes, tamaño de pantalla, hardware y audio llevan años formando parte de esta discusión. El caso AliExpress simplemente ha colocado Web Audio bajo un foco mucho más grande porque el mecanismo dejó una pista inesperada fuera de la pantalla.

El silencio también puede dejar huella

Lo ocurrido con AliExpress retrata bastante bien la web contemporánea. Ya no hace falta que una página guarde una cookie con un número enorme pegado a nuestro navegador para intentar reconocer el dispositivo que vuelve días después. Puede observarlo: cómo dibuja, qué pantalla tiene, cómo calcula, qué hardware declara y cómo procesa el audio.

No significa que cada una de esas mediciones identifique inequívocamente a una persona. Ni permite afirmar, con lo conocido, que AliExpress estuviera utilizando aquel audio para escuchar conversaciones o perseguir individualmente a sus compradores por internet.

Sí demuestra algo más sobrio y quizá más incómodo: la página ejecutaba procesamiento de Web Audio en silencio dentro de un sistema de recopilación mucho más amplio, y ese comportamiento podía contribuir a construir una huella del navegador sin depender exclusivamente de las cookies.

Al final fueron unos auriculares los que levantaron la alfombra. Una pequeña avería doméstica, música que dejaba de sonar en el móvil y una pestaña aparentemente muda. Debajo había bastante más ruido del que parecía.