كشف باحث في الأمن السيبراني أن موقع "علي إكسبرس" يستخدم تقنية تتبع خفية تعتمد على تشغيل صوت غير مسموع عبر المتصفح، بهدف إنشاء "بصمة رقمية" لأجهزة المستخدمين تتيح التعرف إليهم ومتابعة نشاطهم، حتى من دون استخدام ملفات تعريف الارتباط "كوكيز".
واكتُشفت التقنية بعدما لاحظ باحث يدير مدونة الأمن السيبراني "laserphile" أن سماعات البلوتوث الخاصة به تتصرف بصورة غير معتادة كلما فتح موقع "علي إكسبرس"، إذ كان الصوت الصادر من هاتفه يتوقف بعد تحميل الموقع، ويعود فور إغلاق الصفحة.
وأظهر فحص الشيفرة البرمجية للموقع استخدام واجهة "WebAudio API"، المخصصة أساسا لمعالجة الصوت في المتصفحات، لتشغيل إشارة صوتية صامتة وفحص الطريقة التي يعالج بها جهاز المستخدم الصوت.
وتختلف عملية معالجة الصوت بين جهاز وآخر تبعا للمعالج وبطاقة الصوت ومكونات الأجهزة والبرمجيات، ما يسمح بتكوين بصمة رقمية يمكن استخدامها لتمييز الجهاز عن غيره.
وتندرج هذه الطريقة ضمن تقنيات تعرف باسم "بصمة المتصفح"، والتي تتيح للمواقع تحديد المستخدمين ومتابعتهم من دون الاعتماد على "الكوكيز"، التي يمكن حذفها أو حظرها. كما يمكن إنشاء البصمة استنادا إلى خصائص أخرى، بينها حجم الشاشة ودقتها والخطوط المستخدمة ولغة نظام التشغيل وحتى حركة الفأرة.
ورغم أن تقنيات البصمة الرقمية قد تستخدم لأغراض مشروعة، مثل مكافحة الاحتيال وكشف نشاط الروبوتات، فإنها تستخدم أيضا لإنشاء ملفات تعريف للمستخدمين ومتابعتهم على مدى فترات طويلة، حتى عند حذف "الكوكيز" أو استخدام التصفح الخفي.
وقالت "فايرفوكس" إن آليات الحماية المدمجة في متصفحها تمنع استغلال "WebAudio" لتعقب المستخدمين، مؤكدة أن محاولة "علي إكسبرس" جرى إحباطها بواسطة تقنية مكافحة البصمة الرقمية.
كما أكدت "Brave" أنها توفر منذ سنوات حماية ضد هذا النوع من التتبع، من خلال إدخال بيانات عشوائية إلى مخرجات المتصفح لتغيير البصمة الرقمية بين المواقع والزيارات، إضافة إلى حظر الشيفرة المستخدمة في تقنية التتبع التي كشف عنها في "علي إكسبرس".