Phát hiện kỹ thuật 'in dấu vân tay âm thanh' trên website Alibaba khi gỡ lỗi lỗi ngắt kết nối BLE

Trong lúc đang truy tìm nguyên nhân gây ra lỗi ngắt kết nối Bluetooth BLE trên thiết bị của mình, một nhà phát triển đã tình cờ phát hiện ra điều bất thường: các trang web thuộc hệ sinh thái Alibaba (đặc biệt là AliExpress) đang phát những luồng âm thanh im lặng để thu thập "dấu vân tay" phần cứng của người dùng. Đây được xem là một kỹ thuật theo dõi tinh vi, lợi dụng các đặc tính vật lý của thiết bị để nhận diện người dùng mà không cần cookie hay dữ liệu lưu trữ.

Cơ chế hoạt động của kỹ thuật "Audio Fingerprinting"

Thay vì ghi âm giọng nói hay nội dung âm thanh, kỹ thuật này khai thác Web Audio API — một chuẩn web hợp pháp cho phép xử lý và phát âm thanh trực tiếp trong trình duyệt. Cụ thể, trang web sẽ phát một tín hiệu âm thanh có tần số cực thấp (gần như không thể nghe được) vào hệ thống âm thanh của thiết bị. Do mỗi bo mạch chủ, card âm thanh hay bộ khuếch đại đều có những sai lệch phần cứng riêng (nhiễu, độ méo, độ trễ xử lý), cách mà thiết bị phản hồi lại tín hiệu đó sẽ tạo ra một "chữ ký" duy nhất.

Chữ ký này gần như không thể thay đổi hay xóa bỏ bằng cách xóa cookie, khiến nó trở thành một công cụ theo dõi cực kỳ hiệu quả cho các chiến dịch quảng cáo và phân tích hành vi.

Phát hiện tình cờ từ lỗi BLE Multipoint

Nhà phát triển ban đầu chỉ đang cố gắng gỡ lỗi sự cố ngắt kết nối giữa tai nghe Bluetooth và nhiều thiết bị phát (multipoint). Trong quá trình kiểm tra lưu lượng mạng, anh nhận thấy các yêu cầu từ trang AliExpress liên tục khởi tạo một AudioContext mới một cách bất thường. Việc khởi tạo này không có bất kỳ mục đích phát nhạc hay âm thanh thông báo nào, từ đó dẫn đến việc tìm ra luồng dữ liệu âm thanh "ma" được nhúng trong mã nguồn trang web.

Điều đáng nói là kỹ thuật này không chỉ giới hạn ở AliExpress. Nó cho thấy một xu hướng đáng lo ngại khi các "ông lớn" thương mại điện tử đang tìm mọi cách để theo dõi người dùng ngay cả khi họ đã chặn cookie hoặc sử dụng chế độ ẩn danh.

Phản ứng từ cộng đồng bảo mật và các trình duyệt

Các chuyên gia bảo mật cho rằng đây là một lỗ hổng về quyền riêng tư trong chuẩn Web Audio API hiện tại. Điểm yếu nằm ở chỗ các trình duyệt không thể phân biệt được đâu là hoạt động phát âm thanh hợp pháp (như nghe nhạc, video call) và đâu là hành vi thu thập dữ liệu ẩn.

Một số trình duyệt tập trung vào quyền riêng tư đã bắt đầu phát triển các biện pháp đối phó:

• Chặn khởi tạo AudioContext trong các tab ẩn danh hoặc khi người dùng chưa tương tác với trang.
• Làm nhiễu dữ liệu bằng cách thêm các biến thể ngẫu nhiên vào đầu ra âm thanh để phá vỡ tính nhất quán của "chữ ký" phần cứng.
• Cảnh báo người dùng khi một trang web cố gắng truy cập vào thiết bị âm thanh mà không có lý do rõ ràng.

Hàm ý đối với người dùng và nhà phát triển tại Việt Nam

Với sự phổ biến của Tiki, Shopee, Lazada và các sàn thương mại điện tử xuyên biên giới như AliExpress, người dùng Việt Nam cũng nằm trong vùng ảnh hưởng của kiểu theo dõi này. Mặc dù kỹ thuật này chủ yếu phục vụ mục đích marketing, việc thiếu minh bạch trong thu thập dữ liệu là một hồi chuông cảnh tỉnh.

Đối với các nhà phát triển web trong nước, đây là lời nhắc nhở về việc cần thận trọng khi sử dụng các API trình duyệt, không chỉ để tránh vi phạm quyền riêng tư của người dùng mà còn để tuân thủ các quy định mới như Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân tại Việt Nam.

Kết luận

Việc phát hiện ra kỹ thuật "in dấu vân tay âm thanh" trên các website của Alibaba không chỉ dừng lại ở một câu chuyện gỡ lỗi kỹ thuật. Nó mở ra một cuộc tranh luận lớn hơn về ranh giới giữa việc tối ưu trải nghiệm người dùng và việc xâm phạm quyền riêng tư trong kỷ nguyên dữ liệu lớn. Các nhà phát triển trình duyệt sẽ cần phải hành động nhanh chóng để vá lỗ hổng này trước khi nó trở thành một tiêu chuẩn ngầm trong ngành quảng cáo số.