Dans un monde où la protection des données personnelles est devenue un enjeu majeur, les géants du commerce en ligne sont constamment sous surveillance. Récemment, le mastodonte chinois AliExpress, filiale du groupe Alibaba, s’est retrouvé au cœur d’une controverse majeure, accusé d’employer une méthode d’espionnage particulièrement insidieuse. Des scripts audios, diffusant des pistes inaudibles, seraient utilisés pour identifier les machines des utilisateurs sans leur consentement explicite, une révélation qui soulève de sérieuses questions sur l’éthique et la légalité de telles pratiques. Cette découverte fortuite, faite par un internaute, met en lumière les techniques sophistiquées que certaines plateformes pourraient déployer pour contourner les mécanismes de protection de la vie privée et collecter des informations précieuses sur leurs visiteurs, bien au-delà des cookies traditionnels.
La révélation d’une technique d’identification sonore inédite
L’affaire a éclaté suite au témoignage d’un internaute, se faisant appeler mc-tech, qui a partagé son expérience sur son blog personnel le 20 août dernier. Alors qu’il utilisait son casque Bluetooth multipoint, connecté simultanément à son PC et à son smartphone, il a remarqué un comportement étrange : le son de son téléphone se coupait systématiquement dès qu’il chargeait la page d’accueil d’AliExpress sur son ordinateur. Ce phénomène persistait même lorsque l’onglet, le navigateur Firefox ou le système d’exploitation Windows étaient mis en sourdine, et ce, sans qu’aucun contenu multimédia ne soit visiblement diffusé sur la page. Intrigué par cette anomalie, mc-tech a entrepris une investigation approfondie, qui l’a mené à une découverte pour le moins surprenante, révélant la présence de mécanismes de suivi cachés.
Son enquête minutieuse l’a d’abord conduit à vérifier l’absence de tout fichier audio actif sur la page, confirmant que le problème n’était pas lié à une lecture multimédia classique. Il a ensuite constaté que le dysfonctionnement n’apparaissait qu’après quelques minutes d’inactivité sur une page d’AliExpress, suggérant une activation différée de certains processus. En se plongeant dans le code source de la page web, il a finalement mis au jour deux scripts dissimulés, nommés collina.js et fireyejs.js. Ces scripts, agissant en arrière-plan, semblent être les architectes de cette technique d’identification, exploitant une vulnérabilité potentielle ou une zone grise dans la gestion des ressources audio des navigateurs modernes pour collecter des données sans éveiller les soupçons de l’utilisateur.
Comment AliExpress exploiterait les fréquences inaudibles pour le traçage
La particularité de ces scripts réside dans leur capacité à diffuser une piste audio inaudible directement dans le navigateur des visiteurs. L’ingéniosité de la méthode réside dans le fait que cette piste n’est pas statique, mais se module en fonction des caractéristiques uniques de la machine de l’utilisateur. Chaque PC, avec sa configuration matérielle spécifique, son système d’exploitation, les propriétés de son écran ou encore son navigateur web, générerait une oscillation sonore distincte, créant ainsi une sorte d’empreinte digitale acoustique. Cette variation subtile et imperceptible à l’oreille humaine permettrait à AliExpress de recueillir des informations détaillées sur l’appareil, même en l’absence de cookies traditionnels ou d’autres marqueurs plus conventionnels, qui sont de plus en plus bloqués par les navigateurs et les utilisateurs soucieux de leur vie privée.
Ce procédé s’apparente à une forme de fingerprinting numérique, mais appliqué au domaine audio, ce qui le rend particulièrement difficile à détecter et à contrecarrer avec les outils de protection existants. En effet, la diffusion d’un son inaudible ne déclenche généralement pas les alertes des bloqueurs de publicités ou des extensions de protection de la vie privée, car elle ne correspond pas aux schémas de traçage habituels. La capacité à identifier un utilisateur ou un appareil de manière persistante, même après la suppression des cookies ou le passage en mode navigation privée, représente une avancée significative dans les techniques de surveillance et pose un défi majeur pour la régulation et la protection des droits numériques des consommateurs, qui se retrouvent ainsi suivis à leur insu par des moyens détournés.
Les motivations profondes derrière une telle surveillance
La question centrale qui découle de cette découverte est évidemment celle des motivations d’AliExpress pour mettre en œuvre une telle manœuvre d’espionnage. mc-tech, dans son analyse, avance plusieurs théories plausibles. Selon lui, AliExpress aurait de nombreuses raisons légitimes de vouloir distinguer les acheteurs authentiques des entités automatisées ou suspectes. Le site, comme toute plateforme de commerce électronique de grande envergure, doit lutter contre une multitude de menaces : la prise de contrôle de comptes utilisateurs, la création de faux comptes pour manipuler les avis, le web scraping intensif par des concurrents, les achats automatisés visant à détourner des promotions, la fraude au paiement, ou encore l’utilisation abusive de coupons et de promotions destinées aux nouveaux clients. Ces activités frauduleuses peuvent entraîner des pertes financières considérables et nuire à la réputation de la plateforme.
Au-delà de la lutte contre la fraude, une autre motivation majeure réside dans l’optimisation marketing. Comme la plupart des grandes entreprises numériques, AliExpress s’appuie sur d’énormes volumes de données comportementales pour affiner ses stratégies commerciales. La collecte d’informations sur les habitudes de navigation des utilisateurs permet de personnaliser les offres, d’améliorer la pertinence des publicités, d’optimiser le parcours client et, in fine, d’augmenter les taux de conversion. Cependant, les cookies, longtemps l’outil privilégié pour ce type de traçage, sont devenus moins fiables en raison des nouvelles réglementations sur la vie privée (comme le RGPD en Europe) et des fonctionnalités anti-pistage intégrées aux navigateurs modernes. L’utilisation de techniques d’empreinte digitale audio pourrait donc être une tentative de contourner ces restrictions, offrant une méthode de suivi plus persistante et difficile à bloquer, permettant de continuer à construire des profils d’utilisateurs détaillés pour des objectifs commerciaux.
Bilan et perspectives
La révélation des pratiques présumées d’AliExpress en matière d’espionnage sonore via des scripts inaudibles dans le navigateur marque un tournant potentiellement inquiétant dans le paysage de la protection des données personnelles en ligne. Si ces allégations se confirment, elles illustrent la sophistication croissante des méthodes de traçage et la détermination de certaines plateformes à collecter des informations sur leurs utilisateurs par des moyens détournés, contournant les protections existantes et les consentements explicites. Cette technique d’« audio fingerprinting » soulève des questions éthiques et légales majeures, notamment en ce qui concerne le respect du droit à la vie privée et la transparence des pratiques de collecte de données. Les régulateurs et les défenseurs des droits numériques devront examiner attentivement cette affaire pour déterminer si elle constitue une violation des réglementations en vigueur et, le cas échéant, quelles mesures correctives et préventives doivent être mises en place pour protéger les consommateurs. Cette situation souligne l’urgence pour les utilisateurs de rester vigilants et pour les navigateurs de développer des défenses plus robustes contre ces formes émergentes de surveillance, garantissant un environnement en ligne plus respectueux de la vie privée.
