AliExpress y el fingerprinting silencioso: cuando la vigilancia publicitaria rompe tu hardware

Un caso que va más allá de la publicidad invasiva

En agosto de 2026, el investigador conocido como laserphile publicó un hallazgo inquietante: simplemente al visitar la web de AliExpress —sin iniciar sesión, sin agregar productos al carrito, sin interacción alguna— se ejecutaba un script de fingerprinting mediante la API WebAudio del navegador. El script era tan agresivo que interfería con la conexión multipunto Bluetooth del dispositivo del usuario, forzándolo a desconectar auriculares y otros periféricos.

Quién está detrás: el ecosistema Alibaba

Cuando AliExpress despliega técnicas de fingerprinting de vanguardia, no estamos ante la decisión aislada de un equipo de marketing. Estamos ante una práctica coherente con el modelo de negocio de Alibaba: monetizar la atención y los datos de navegación a escala global, compitiendo con Amazon, Temu (de PDD Holdings) y Shein por cada clic de usuarios occidentales.

El fingerprinting como infraestructura publicitaria

• Meta (Facebook, Instagram) ha sido documentado múltiples veces recopilando datos de navegación a través de píxeles, SDKs en aplicaciones, y técnicas de fingerprinting en su familia de apps.
• Amazon utiliza fingerprinting en sus propiedades para personalizar precios y publicidad.
• TikTok (ByteDance) ha sido señalado por el uso de la API de audio para fingerprinting en su web, además de las controversias conocidas sobre su app móvil.
• X (antes Twitter) fue descubierto en 2024 usando una técnica de “port scan” desde los navegadores de los visitantes.

La diferencia con AliExpress es que aquí el fingerprinting no se queda en el navegador: afecta al hardware físico del usuario. Cruza una línea que la mayoría de los competidores —por convención, no por ley— no cruza.

Las asimetrías de poder que hacen esto posible

Esta asimetría se ve agravada por la opacidad del ecosistema. ¿Quién compra los datos de fingerprinting de AliExpress? ¿Con qué entidades se comparten? ¿Cuánto tiempo se retienen? No lo sabemos. Las políticas de privacidad de estas plataformas son documentos legales diseñados para cumplir formalmente con reguladores, no para informar al usuario.

Contexto histórico: de las cookies al fingerprinting

1. Años 2000: cookies de terceros como estándar de facto. Ningún regulador las cuestiona.
2. Años 2010: GDPR (2018) empieza a poner límites. Apple introduce Intelligent Tracking Prevention (2017) en Safari.
3. Años 2020: Chrome anuncia el fin de las cookies de terceros. La industria migra a fingerprinting, first-party data, y “cohortes” como Topics API.
4. 2025-2026: el fingerprinting se sofistica. WebAudio, WebGL, GPU rendering, baterías, sensores de movimiento. Cada API del navegador se convierte en vector de identificación.

Lo que vemos con AliExpress es la normalización del fingerprinting agresivo como práctica estándar. No es un caso aislado; es la evolución lógica de un modelo de negocio que depende de identificar usuarios sin su consentimiento.

¿Hay solución técnica o regulatoria?

Técnicamente, los navegadores pueden limitar estas prácticas. Firefox y Safari han implementado restricciones a la precisión de APIs como WebAudio. Brave va más allá y randomiza las firmas. Pero la realidad es que mientras Chromium domine el mercado —y Chrome tiene cerca del 65% de cuota global—, los límites los pone Google, y Google tiene un incentivo publicitario directo en mantener la capacidad de identificación.

Regulatoriamente, la respuesta es lenta. La Digital Markets Act europea y la Digital Services Act abren la puerta a sanciones, pero los casos tardan años en resolverse. Mientras tanto, los scripts siguen ejecutándose.

graph LR
User[Usuario] --> Browser[Navegador]
Browser --> WebAudio[API WebAudio]
WebAudio --> Fingerprint[Huella digital]
Fingerprint --> Alibaba[Alibaba/AliExpress]

Conclusión: ¿qué precio pagamos por lo “gratis”?

Cada API del navegador, cada sensor del dispositivo, cada interacción se ha convertido en materia prima para modelos de negocio que no producen ningún valor tangible para el usuario, sino que extraen valor de su comportamiento, sus preferencias, y ahora también de su hardware.

La pregunta no es si esto es legal —en la mayoría de jurisdicciones, técnicamente lo es—. La pregunta es qué tipo de relación queremos entre usuarios y plataformas. ¿Es aceptable que abrir una web de compras rompa la conexión de tus auriculares? ¿Es sostenible un modelo donde la privacidad es siempre una “optimización pendiente” para la industria?

Quizás el mayor logro del caso AliExpress no sea haber destapado una práctica concreta, sino recordarnos que la vigilancia digital tiene costes reales, medibles y a veces literalmente físicos que el modelo publicitario nunca reconocerá voluntariamente.