AliExpress、無音のWebAudio指紋採取でBluetoothに干渉
原題: AliExpress runs silent WebAudio fingerprinting that breaks Bluetooth multipoint
なぜ重要か
大手ECプラットフォームが無音WebAudioフィンガープリントを利用者の同意なく実行している実態は、ブラウザプライバシーとWeb標準の運用に関する業界的な議論を喚起する。
AliExpress（Alibaba）のWebページが、WebAudio APIを用いてユーザーに無断でブラウザフィンガープリントを取得していることが判明した。この処理により、マルチポイント接続のBluetoothヘッドホンを使用中の環境でスマートフォン側の音声再生が停止する問題が確認された。2026年8月20日、個人ブログ「laserphile」が調査結果を公開した。
ブログ「laserphile」の著者は、FirefoxまたはChromeでAliExpressのページを開くと、Bluetoothヘッドホンのマルチポイント接続においてスマートフォン側の音声が停止する現象を発見した。AliExpressのタブを閉じると直ちに問題が解消されることから、同ページが原因と特定された。
調査の結果、`<audio>`・`<video>`要素やMedia Session APIには異常がなく、可視メディアの再生も確認されなかった。しかし、Web Audio APIのコンストラクタを計測する独自コードを仕込んだところ、ページが2つの`AudioContext`オブジェクトを生成し、いずれも「running」状態で`AudioContext.destination`にノードを接続していることが判明した。
問題のスクリプトはAlibabaのブラウザセキュリティ・不正対策基盤「AWSC」配下の以下の2ファイルだった。
- `collina.js`
- `fireyejs.js`
両スクリプトはWebAudioグラフを構築する。「鋸歯状波オシレーター → AnalyserNode → ScriptProcessorNode → GainNode（ゲイン0） → 出力先」という経路で、オシレーターが生成した波形をブラウザの音声実装を通じて測定し、周波数データからフィンガープリントを算出する仕組みだ。ゲインがゼロに設定されているため音声は聞こえないが、グラフがシステムの音声出力先（destination）に接続されているため、ブラウザはOSの音声システムを通じて処理を継続する。これがBluetoothマルチポイントの挙動に干渉し、スマートフォンからの音声を遮断すると考えられる。
両スクリプトは高度に難読化されているものの、AIを活用した解析により音声処理部分の動作が確認された。AliExpress側からの公式コメントは現時点で確認されていない。