Bluetoothイヤホンの誤作動から発覚、Web Audio APIを悪用した新手法
世界最大級のオンライン通販サイト「AliExpress(アリエクスプレス)」が、無音の音声処理を使ってブラウザを個別に識別する仕組みを組み込んでいたことが発覚しました。
きっかけは、開発者が同サイトを開いている間だけBluetoothイヤホンが誤作動するという、些細な不具合でした。
セキュリティメディアのMalwarebytesやgHacks、TechSpotなどの報道をもとに、その手口と波紋を解説します。
きっかけはBluetoothイヤホンの誤作動——偶然の発見
事の発端は、ある開発者が自身のパソコンでAliExpressのサイトを開いていた際に起きた、奇妙な不具合でした。
複数の機器に同時接続できる「マルチポイント」対応のBluetoothイヤホンが、AliExpressのタブを開いている間だけ正常に切り替わらなくなったのです。
タブを閉じるとこの不具合は解消し、開発者は原因を調べるためサイトのコードを詳しく調査しました。
その結果、AliExpressがブラウザ上で音声処理を裏側で常時動かし続けていたことが判明しました。
この地味な不具合の発見が、後に大きなプライバシー問題として報じられる発端となりました。
一般的な利用者であれば、イヤホンの一時的な不調として見過ごしていてもおかしくない現象です。
裏側で動くスクリプトの挙動が、身近な周辺機器の動作にまで影響を及ぼしていた点は、この種の追跡技術がいかに深くシステムに入り込んでいるかを物語っています。
セキュリティ研究者の間では、こうした偶発的な不具合の報告が、隠されたトラッキング手法を発見する重要な手がかりになるケースが少なくないと指摘されています。
手口は「無音のブラウザ指紋認証」——Web Audio APIの悪用
AliExpressが使っていた技術は、ブラウザに標準搭載されているWeb Audio APIと呼ばれる音声処理の仕組みでした。
このAPI自体はゲームや音楽アプリなどで正当に使われる技術ですが、AliExpressは音量をゼロに設定した状態で信号を生成・処理させていました。
つまりスピーカーから実際に音が鳴ることは一切なく、利用者は何も気づかないまま処理だけが実行される仕組みです。
この処理では、CPUや音声チップ、OS、ブラウザ、ドライバーの組み合わせによって生じる、ごくわずかで再現性のある処理結果の違いを測定します。
この差分を組み合わせることで、Cookieを使わずに端末を一意に識別する「ブラウザフィンガープリント」(利用者ごとの機器情報を組み合わせて作る、指紋のような識別子)を作り出していたとみられています。
音声フィンガープリント自体は目新しい概念ではなく、広告技術や不正検知の分野では以前から研究対象とされてきました。
ただし、実際に世界規模で数億人が利用する大手ECサイトの本番環境で、常時バックグラウンド稼働させていた実例が具体的に確認されたことは異例です。
マイクで周囲の音を録音していたわけではない点は重要な違いですが、利用者の同意や認識のないまま端末情報が収集されていたこと自体が、プライバシー上の大きな懸念材料となっています。
音声だけじゃない——複数の識別情報を組み合わせた「多層指紋」
今回の音声処理は単独で使われていたわけではなく、他の識別技術とも組み合わされていたことが分かっています。
報道によれば、収集対象には次のような情報が含まれていたとされています。
- 画面描画の癖を読み取る「Canvas」レンダリング情報
- グラフィック処理の特性を示す「WebGL」の挙動
- 画面解像度やハードウェア構成
- 通信経路の特徴を示す「WebRTC」の挙動
- 利用者の操作パターン
こうした複数の信号を掛け合わせることで、単一の手法よりもはるかに精度の高い個体識別が可能になります。
一つひとつの信号は単体では利用者を特定するほどの精度を持たなくても、複数を組み合わせれば、同一人物である確率を統計的にかなり高い水準まで絞り込めるとされています。
このような「多層フィンガープリント」は、シークレットモードでの閲覧やCookie削除といった一般的な対策をすり抜けやすい点が、従来のトラッキング手法と大きく異なります。
AliExpressを運営するアリババ側からは、これらの仕組みが不正利用対策やリスク評価を目的にしていた可能性が指摘されていますが、公式な説明は本稿執筆時点でなされていません。
不正注文やアカウント乗っ取りの検知という名目は業界でよく使われる説明ですが、その目的の範囲や収集データの保存期間、第三者への提供の有無といった具体的な運用実態は明らかになっていません。
ブラウザ側は防御済み——Braveは「6年以上前から対策済み」と説明
プライバシー重視のブラウザBraveは今回の件を受け、2026年8月22日にX(旧Twitter)で今回の挙動を指摘しました。
Brave側は、自社ブラウザが6年以上前から音声フィンガープリント対策をデフォルトで備えていると説明しています。
同様の保護機能は、GPUを使った識別手法に対しても拡張されているとしています。
一般的なブラウザの利用者であっても、広告・トラッキング防止用の拡張機能「uBlock Origin」などを導入することで、この種のスクリプトをブロックできるとされています。
ただしChromeやSafariなど主要ブラウザの標準設定では、こうした音声フィンガープリントを自動的に検出・遮断する機能は必ずしも備わっていません。
市場シェアで圧倒的多数を占めるChromeの利用者の多くが、追加の対策を講じない限り無防備な状態にあるという構図は、今回の問題の影響範囲の大きさを示しています。
ブラウザ側の技術的な対策と、サイト側の運用の透明性という、両輪でのアプローチが求められる局面といえます。
背景にあるCookie規制強化——広がる「代替追跡技術」への依存
ブラウザフィンガープリントのような手法が注目される背景には、主要ブラウザによるサードパーティCookie規制の強化があります。
GoogleのChromeをはじめ各社がCookieを介した従来型の追跡を制限する方針を進めており、企業側は代替の識別手段を模索してきました。
音声やCanvas、WebGLといった手法は、こうした規制の網をすり抜けやすい「Cookieレス」の追跡技術として、近年一部のEC事業者や広告業界で採用が広がっているとされています。
欧州連合(EU)では今回とは別に、AliExpressに対し違法製品の流通対策不備を理由とした制裁金が科された経緯もあり、同社の消費者保護姿勢にはかねて懸念の声が上がっていました。
まとめ——利用者ができる対策と今後の注目点
今回の一件は、Cookieに頼らない追跡技術がすでに大手ECサイトで実運用されている実態を浮き彫りにしました。
利用者側では、Braveなどフィンガープリント対策を備えたブラウザの利用や、uBlock Originのような拡張機能の導入が有効な自衛策となります。
AliExpress側から技術の目的や運用範囲について正式な説明があるかどうかが、今後の焦点です。
各国の規制当局がこの種の追跡技術をどう位置づけるかも、引き続き注目されます。