AliExpress'in gizli ses kodlarıyla cihaz parmak izi çıkardığı tespit edildi

Çin merkezli e-ticaret devi AliExpress'in, kullanıcıların tarayıcıları üzerinden ses donanımını kullanarak cihazlara yönelik gizli bir takip mekanizması yürüttüğü ortaya çıktı. Bir yazılım geliştiricisinin yaşadığı teknik aksaklık sonucu fark edilen sistemin, Web Audio API teknolojisi aracılığıyla cihazların dijital parmak izini çıkardığı tespit edildi.

Sistemin varlığı, bir yazılımcının AliExpress sekmesi açıkken çoklu bağlantı destekli Bluetooth kulaklığının bilgisayar ve telefon arasında otomatik geçiş yapamadığını fark etmesiyle gün yüzüne çıktı. Geliştiricinin sekmeyi kapatmasıyla sorunun düzelmesi üzerine yapılan kod incelemelerinde, sitenin sıfır ses seviyesinde arka plan grafikler çalıştırdığı anlaşıldı.

Tespit edilen mekanizmanın, bilgisayarın ses kartı, işlemcisi, sürücüleri ve ses donanımının sinyallere verdiği mikroskobik tepkileri ölçtüğü belirtildi. Bu verilerin ekran ayarları ve Canvas gibi diğer dijital sinyallerle birleştirilerek, her kullanıcıya özel benzersiz bir dijital parmak izi oluşturduğu bildirildi.

İşlemin doğrudan sistem ses çıkışına bağlı olması nedeniyle, tarayıcı sekmesinin sessize alınmasının bile bu süreci durdurmadığı ifade edildi. Bu yöntem sayesinde şirketin, web çerezlerine ihtiyaç duymadan cihazları doğrudan tanıyabildiği kaydedildi.

Uzmanlar, bu tür parmak izi yöntemlerinin platformlar tarafından bot tespiti, dolandırıcılık önleme ve risk analizi gibi güvenlik gerekçeleriyle kullanılabileceğini belirtiyor. Ancak AliExpress'in tercih ettiği yöntemin kullanıcı onayı dışında çalışması ve çerezler gibi engellenememesi, kişisel verilerin gizliliği konusunda endişe yaratıyor.