Loa phát ra âm thanh không ai nghe thấy: AliExpress bị phát hiện đang vân tay trình duyệt người dùng

Nhà bán lẻ trực tuyến Trung Quốc AliExpress vừa bị phát hiện đã lén thu thập dữ liệu nhận dạng trình duyệt của khách truy cập, sử dụng một kỹ thuật vân tay (fingerprinting) lỗi thời nhưng vẫn hiệu quả: phát ra những âm thanh tần số cao mà con người không thể nghe được, để phân tích cách trình duyệt xử lý tín hiệu.

Sự việc được nhà nghiên cứu bảo mật Matthew Callaghan tình cờ phát hiện khi ông đang sử dụng tai nghe bluetooth đa điểm (multipoint) — loại tai nghe có thể kết nối với nhiều thiết bị cùng lúc. Khi mở trang chủ của AliExpress, âm thanh từ điện thoại của ông lập tức bị ngắt, nhưng khi đóng tab trình duyệt thì âm thanh quay trở lại. Điều này xảy ra lặp đi lặp lại một cách rất nhất quán, thúc đẩy ông tìm hiểu sâu hơn.

Kỹ thuật vân tay qua sóng âm: Lỗi thời nhưng vẫn khiến người dùng lo ngại

Khi điều tra, Callaghan phát hiện hai đoạn mã JavaScript được làm rối (obfuscated) một cách phức tạp trên trang AliExpress. Các đoạn mã này kết hợp với nhau để tạo ra một đồ thị (graph) hoạt động như một bộ tạo dao động (oscillator), ghi nhận các giá trị WebAudio — một API của trình duyệt xử lý âm thanh kỹ thuật số.

Cụ thể, trang web phát ra các sóng răng cưa (sawtooth waves) — một dạng sóng phổ biến trong âm thanh kỹ thuật số. Tai người không thể nghe thấy tần số này, nhưng trình duyệt có thể thu nhận và xử lý chúng. Mỗi trình duyệt, trên mỗi thiết bị khác nhau, sẽ cho ra một "dấu vân tay" âm thanh hơi khác một chút, do sự khác biệt về phần cứng, driver âm thanh và cấu hình hệ thống.

Kỹ thuật này từng được sử dụng phổ biến khoảng 5–7 năm trước để xác định người dùng, nhưng đã bị xem là lỗi thời vì các trình duyệt hiện đại như Chrome và Firefox đã thêm các biện pháp chống vân tay, làm giảm độ chính xác của các phép đo âm thanh. Tuy vậy, việc AliExpress vẫn sử dụng nó cho thấy phương pháp này vẫn là một công cụ hữu ích để bổ sung vào chuỗi dữ liệu nhận dạng, đặc biệt khi kết hợp với các kỹ thuật vân tay khác như canvas fingerprinting hoặc user-agent.

Vấn đề không chỉ ở AliExpress

Dù kỹ thuật này không còn mới mẻ, điều đáng lo ngại là cách nó được triển khai: hoàn toàn ẩn giấu, không có bất kỳ thông báo nào cho người dùng, và được làm rối mã để tránh bị phát hiện. Đây là một hình thức theo dõi "thầm lặng" giúp AliExpress có thể theo chân người dùng qua nhiều phiên truy cập, xây dựng hồ sơ hành vi mà không cần đến cookie — thứ mà các trang web hiện nay phải xin phép trước khi lưu.

Đối với người dùng Việt Nam, nơi AliExpress là một trong những nền tảng mua sắm xuyên biên giới phổ biến nhất, vụ việc này là một lời nhắc nhở quan trọng về quyền riêng tư trực tuyến. Ngay cả khi bạn sử dụng trình duyệt ẩn danh (incognito) hoặc xóa cookie thường xuyên, các kỹ thuật vân tay trình duyệt như thế này vẫn có thể hoạt động ngầm mà bạn không hề hay biết.

Bạn có thể làm gì để bảo vệ mình?

• Sử dụng trình duyệt có tính năng chống vân tay mạnh mẽ như Brave hoặc Firefox (bật chế độ Strict trong cài đặt privacy).
• Cài các tiện ích chặn script như uBlock Origin hoặc NoScript để chặn các tập tin JavaScript không cần thiết.
• Hạn chế truy cập trực tiếp vào AliExpress qua trình duyệt chính; nếu cần, hãy dùng tab riêng hoặc ứng dụng di động với quyền hạn hạn chế.
• Thường xuyên kiểm tra các quyền truy cập của trang web (âm thanh, micro, camera) trong cài đặt trình duyệt và thu hồi những quyền không cần thiết.

Câu chuyện này cho thấy rằng trong thế giới công nghệ, cái cũ không có nghĩa là đã chết — chỉ cần được che giấu khéo léo, nó vẫn có thể âm thầm hoạt động và thu thập dữ liệu của bạn mà không ai nghe thấy.