최근 알리익스프레스 웹페이지가 사용자 동의 없이 웹오디오(WebAudio) API를 활용해 기기 지문(fingerprinting)을 수집하고 있다는 사실이 한 개발자에 의해 밝혀졌습니다. 이 과정에서 소리는 전혀 나지 않지만, 웹페이지가 오디오 경로를 활성화 상태로 유지하여 블루투스 멀티포인트 헤드폰의 오디오 전환 기능을 방해하는 부작용이 발견되었습니다. 이는 단순히 미디어 재생이 아닌, 은밀한 사용자 추적 기술의 일환으로 해석되고 있습니다.
해당 개발자는 자신의 블루투스 멀티포인트 헤드폰이 PC와 휴대폰 간 오디오 전환에 문제를 겪던 중, 알리익스프레스 탭을 열었을 때만 문제가 발생하고 탭을 닫으면 즉시 해결되는 현상을 포착했습니다. 그는 페이지 내 숨겨진 오디오/비디오 요소나 미디어 재생 호출이 없는 것을 확인한 뒤, 웹오디오 API를 추적하여 두 개의 숨겨진 오디오 컨텍스트(AudioContext)가 생성되고 활성화되는 것을 발견했습니다. 이 컨텍스트들은 소리 없는 톱니파 발진기(Sawtooth oscillator)와 분석기(AnalyserNode)를 통해 브라우저의 오디오 처리 특성을 측정하고 있었으며, 이는 알리바바(Alibaba)의 브라우저 보안 및 남용 방지 도구인 'collina.js'와 'fireyejs.js' 스크립트에서 비롯된 것으로 확인되었습니다.
이러한 웹오디오 지문 수집은 브라우저 버전, 운영체제, 오디오 라이브러리, 하드웨어 등 미묘한 시스템 차이에서 발생하는 오디오 신호 처리 결과의 편차를 이용합니다. 알리익스프레스는 이 외에도 캔버스 렌더링, WebGL 정보, 화면 해상도, 장치 메모리, 브라우저 플러그인 등 광범위한 데이터를 함께 수집하여 종합적인 브라우저 및 기기 지문을 생성하고 있었습니다. 이는 사용자 행동 추적, 봇 감지, 사기 방지 등 다양한 목적으로 활용될 수 있으나, 사용자 동의 없이 은밀하게 이루어진다는 점에서 프라이버시 침해 논란을 피하기 어려울 것으로 보입니다.