Il caso AliExpress ha riportato l’attenzione sull’audio fingerprinting, una tecnica di tracciamento che sfrutta differenze minime nel modo in cui browser, sistema operativo e hardware elaborano segnali audio. La notizia è stata presentata da alcune fonti come riconoscimento tramite “suono impercettibile”, ma la ricostruzione tecnica più corretta è diversa: il tracciamento avviene attraverso l’elaborazione WebAudio nel browser, non necessariamente tramite un suono riprodotto dagli altoparlanti.
Il fingerprinting è una famiglia di tecniche usate per riconoscere un dispositivo o un browser combinando molte caratteristiche: configurazione software, font, dimensioni dello schermo, accelerazione grafica, canvas rendering e, in questo caso, risposta del motore audio. Anche senza cookie tradizionali, questi segnali possono contribuire a identificare o correlare sessioni diverse.
Come funziona il fingerprinting audio
Con le API WebAudio, una pagina può generare internamente un segnale, farlo passare attraverso componenti di elaborazione audio e leggere il risultato numerico prodotto dal browser. Piccole differenze nell’hardware, nei driver, nel sistema operativo o nell’implementazione del browser possono produrre valori leggermente diversi.
Queste variazioni, combinate con altri parametri, possono diventare un identificatore probabilistico. Il punto centrale è che l’utente non deve necessariamente ascoltare nulla: il test può avvenire in memoria, senza emissione percepibile e senza un’interazione evidente.
Privacy e trasparenza
Le tecniche di fingerprinting sono controverse perché riducono l’efficacia dei controlli tradizionali basati su cookie e consenso. Anche quando vengono usate per sicurezza antifrode o prevenzione degli abusi, richiedono trasparenza, proporzionalità e basi giuridiche adeguate, soprattutto nel contesto europeo.
Per gli utenti, il problema è la difficoltà di capire quando il browser viene usato per generare segnali identificativi. Per le aziende, il rischio è affidarsi a meccanismi di tracciamento opachi che possono entrare in tensione con normative privacy, aspettative degli utenti e regole delle piattaforme.
Come ridurre l’esposizione
Browser aggiornati, impostazioni anti-tracciamento, estensioni affidabili e modalità di navigazione più restrittive possono ridurre la superficie disponibile per il fingerprinting, ma non eliminarla del tutto. Alcuni browser orientati alla privacy cercano di standardizzare o mascherare i risultati delle API sensibili, limitando la capacità di distinguere un dispositivo dall’altro.
Per le organizzazioni, il caso è un promemoria: le tecniche di identificazione dei dispositivi devono essere documentate, valutate e comunicate in modo chiaro. Il tracciamento invisibile può sembrare utile per misurazione o sicurezza, ma se non è governato correttamente diventa un rischio reputazionale e regolatorio.