AliExpress、非検知音波でブラウザをフィンガープリント

Dan GoodinがArs Technicaで報じた記事に基づく。

ECサイト、AliExpressが訪問者のブラウザを非検知音波によって識別するフィンガープリント技術を実行していたことが発覚した。研究者Matthew Callaghanが、同サイト読み込み後にBluetoothヘッドフォンの動作が阻害されたことから偶然この痕跡を発見した。

Callaghan氏は、AliExpressのトップページを読み込んだ後、自分のマルチポイントヘッドフォン経由で再生していたスマホの音声が途切れる現象に遭遇した。サイトのタブを閉じると音声が復帰するが、再度サイトにアクセスすると途切れるという動作が繰り返された。

調査の結果、2つの難読化されたスクリプトがWebAudio APIの読み取り値を分析するグラフを描画していることが判明した。このグラフはデジタル音声出力で一般的な「鋸歯状波」を計測する発振器として機能していた。

スクリプトは、ブラウザの音声実装をを通じて後の結果を測定し、波形データから周波数情報を読み取る。ユーザーには音が聞こえないようゲインはゼロに設定されるが、システム音声経路は接続されたままブラウザが処理を継続し、最終的にAliExpressに送信される。

この技術の背景には、ブラウザで音声を生成する際に使用される数学ライブラリの実装差異がある。以前はこの差異が大きく、CPUやシステム構成と組み合わさることで大量のユニークな署名が生成可能だった。

技術的背景と現在の有効性

しかし、この手法は現在では有効性を大きく損なっている。Firefoxはバージョン118（2023年リリース）から、OS提供のライブラリではなく独自の数学ライブラリを採用する対策を導入した。Firefox開発者でありTorプロジェクトのボランティアでもあるTom Ritter氏は、一貫したライブラリ使用により、この技術を無効化できる程度にエントロピーを削減したと説明している。

Google發言人は、Chromeでも同様に独自ライブラリをバンドルしているため、この手法は無効だと述べている。Safariについても同様の防御が施されている可能性が高い。

古びた技術と多数の追跡手法

このように時代遅れの技術をAliExpressがなぜ使用しているのか。其の答えは、同サイトが利用している10以上の他のフィンガープリント手法にありそうだ。Callaghan氏の発見によれば、その他にはキャンバス描画、WebGLレンダラー情報、拡張機能、シェーダー精度、画面やビューポートの寸法、デバイスピクセル比などが含まれていた。

編集部の見解

今回の発見は、主要ECプラットフォームが依然として多層的な追跡技術を試行錯誤していることを示している。短期的には、ブラウザベンダーがWebAudio APIなど音声関連APIのプライバシー保護をさらに強化する契機となり得る。特にゲイン値をゼロにしても処理が継続するという挙動は、API設計の見直しを求める論拠になりそうだ。 長期的には、個々の追跡手法が防御されたとしても、複数手法を組み合わせることによる「レジリエントな追跡」が進化する可能性がある。音声フィンガープリントが無効化されても、キャンバスやWebGLなど他の10以上の手法が依然として機能する環境では、ユーザーの特定は容易に行える。これは、個別技術への対処ではなく、を含む的なトラッキング保護が不可欠であることを改めて示している。 未検証の論点として、このような多層追跡手法の採用が、コンバージョン率の向上や広告効果測定にどれほどの実質的な寄与をしているのかが問われている。古びた技術への投資が合理的な判断なのか、それとも単にレガシーコードの放置なのか。

参考

• 「Inaudible sounds used to fingerprint browsers catch AliExpress red-handed」, by Dan Goodin — Ars Technica, 2026-08-24T19:19:21.000Z (CC BY-NC-ND)
• 元記事URL: https://arstechnica.com/security/2026/08/aliexpress-caught-fingerprinting-visitors-after-sending-inaudible-sounds-to-browsers/