AliExpressが無音フィンガープリントで追跡発覚
原題: Inaudible sounds used to fingerprint browsers catch AliExpress red-handed
なぜ重要か
大手ECプラットフォームによる多層的なフィンガープリント追跡の実態は、プライバシー規制やブラウザベンダーによる対策の実効性を問い直す重要事例となる。
研究者Matthew Callaghanは2026年8月、中国の大手ECサイトAliExpressがブラウザに無音の音波を送信してフィンガープリントを収集していることを偶然発見した。AliExpressのホームページを読み込むたびにBluetoothヘッドホンの音声が途切れる現象から調査を開始し、高度に難読化された2本のスクリプトがWebAudio APIを通じてブラウザ固有の音響特性を収集していることを確認した。
研究者のMatthew Callaghanは、AliExpressのホームページを開くたびにマルチポイント接続対応のBluetoothヘッドホンでスマートフォンの音声が途切れるという異常な動作に気づき、調査を開始した。
調査の結果、AliExpressのサイトには高度に難読化された2本のスクリプトが存在し、これらがWebAudio APIを利用してブラウザの音響処理特性を解析していることが判明した。具体的には、スクリプトがオシレーターを生成してデジタル音声に一般的な「ノコギリ波」を発生させ、ブラウザの音声実装を通過した後の周波数データを読み取る仕組みになっていた。ゲインはゼロに設定されているためユーザーには聞こえないが、ブラウザは引き続き音声処理を行い、そのデータがAliExpressへ送信される。
この「音響フィンガープリント」技術は、OSに付属する数学ライブラリがCPUなどのハードウェア差異と組み合わさることで、ブラウザごとに異なる固有の署名を生成できることを利用したものだ。ただしFirefoxは2023年リリースのバージョン118からOS依存の数学ライブラリをやめ、独自のライブラリを採用することでエントロピーを削減し、この手法を無効化している。Firefoxの開発者でTor Projectにも参加するTom Ritterはこの対策を確認している。ChromeもGoogleのスポークスパーソンによれば独自ライブラリを採用しておりこの手法は無効であり、Safariでも同様の理由で安全と見られるが、Appleは即時の確認を行っていない。
AliExpressがすでに時代遅れとなったこの手法を使用している理由として、Callaghanは同サイトが採用する他の十数種類のフィンガープリント技術との併用が目的である可能性を指摘している。確認された他の追跡手法には、canvasレンダリング、WebGL情報、スクリーン寸法、デバイスのピクセル比、ハードウェア並列数、デバイスメモリ、インストール済みプラグイン、対応音声・動画フォーマット、WebRTCの動作、マウス・タッチ・スクロールイベントなどが含まれる。