AliExpress Pakai WebAudio Fingerprinting Senyap yang Merusak Bluetooth Multipoint

Sebuah temuan yang beredar di Hacker News pada 20 Agustus 2026 menyoroti praktik yang jarang dibahas: AliExpress menjalankan fingerprinting WebAudio senyap di situsnya, dan efek sampingnya merusak koneksi Bluetooth multipoint di perangkat pengunjung. Ini bukan sekadar soal pelacakan — ada dampak nyata pada pengalaman pengguna dan pertanyaan serius tentang privasi. Artikel ini membahas apa yang terjadi, bagaimana mekanismenya, konteks fingerprinting WebAudio secara umum, dan langkah perlindungan yang bisa diambil.

Apa itu WebAudio Fingerprinting?

Fingerprinting adalah teknik untuk mengidentifikasi perangkat atau browser secara unik tanpa menggunakan cookie. Ada banyak jenis: canvas fingerprinting (menggambar elemen dan membandingkan hasil render), font fingerprinting (mendeteksi font yang terpasang), dan WebAudio fingerprinting — yang memanfaatkan cara perangkat memproses sinyal audio.

WebAudio API memberi situs kemampuan untuk membuat, memproses, dan menganalisis audio di browser. Dengan memainkan sinyal tertentu (misalnya osilator pada frekuensi tertentu) dan mengukur outputnya setelah melewati pipeline audio, situs bisa mendapatkan signature yang sangat spesifik untuk kombinasi hardware dan software pengunjung. Perbedaan kecil di DAC, driver audio, dan stack pemrosesan menghasilkan output yang sedikit berbeda — dan itulah sidik jarinya.

Secara teknis, cara kerjanya seperti ini: situs membuat AudioContext, memainkan sinyal osilator (misalnya gelombang segitiga 10 kHz), melewatkannya melalui dynamics compressor, me-render hasilnya secara offline, lalu menjumlahkan nilai absolut sampelnya. Angka yang dihasilkan berbeda antar perangkat (karena perbedaan hardware audio) tapi konsisten untuk perangkat yang sama — kombinasi ideal untuk pelacakan. Studi akademis seperti "Sounds of Silence" (Shekhar Chalise, 2021) sudah mendemonstrasikan stabilitas dan keragaman fingerprint audio ini.

Yang Ditemukan di AliExpress

Menurut temuan yang dibahas di Hacker News, AliExpress menjalankan fingerprinting WebAudio senyap — tanpa indikasi visual atau audio yang terdengar oleh pengguna. Yang membuat kasus ini unik dan menonjol: fingerprinting ini mengganggu Bluetooth multipoint, fitur yang memungkinkan satu perangkat (misalnya headphone) terhubung ke dua sumber sekaligus, seperti laptop dan HP.

Mekanisme yang diduga: proses audio yang dijalankan untuk fingerprinting memaksa pipeline audio perangkat aktif, yang bisa memicu konflik dengan profil Bluetooth dan memutus atau menurunkan kualitas koneksi multipoint. Hasilnya, pengguna yang mengunjungi situs AliExpress dengan headphone Bluetooth multipoint aktif bisa mengalami audio yang putus-putus, peralihan sumber yang gagal, atau koneksi yang ter-reset.

Penting untuk dicatat bahwa detail teknis lengkapnya masih dalam pembahasan komunitas saat artikel ini ditulis — laporan awal di Hacker News dan liputan lanjutan (termasuk liputan berbahasa Jerman dari Dr. Web) menggambarkan korelasi antara kunjungan ke situs dan gangguan Bluetooth, dengan analisis teknis yang mengarah pada pemrosesan audio di background. Ini bukan klaim yang sudah sepenuhnya diverifikasi oleh pihak ketiga independen, tapi polanya cukup jelas untuk menjadi perhatian.

Kenapa Ini Bermasalah

Ada dua masalah utama di sini:

1. Pelacakan tanpa persetujuan

Fingerprinting adalah teknik pelacakan yang bekerja tanpa cookie dan sulit dihapus oleh pengguna. Tidak seperti cookie yang bisa dihapus atau diblokir, fingerprint didasarkan pada karakteristik perangkat yang tidak bisa diubah pengguna secara mudah. Penggunaan fingerprinting untuk pelacakan lintas sesi tanpa persetujuan eksplisit adalah praktik yang dipertanyakan dari sisi privasi — dan di beberapa yurisdiksi (termasuk GDPR di Eropa) bisa melanggar aturan tentang persetujuan untuk pelacakan. Penerapan GDPR di Eropa sudah menghasilkan denda besar untuk pelanggaran pelacakan, dan teknik yang lebih invasif seperti fingerprinting menjadi perhatian regulator.

2. Dampak fungsional yang merugikan pengguna

Gangguan pada Bluetooth multipoint bukan sekadar efek samping yang sepele — ini merusak fungsionalitas perangkat yang sedang dipakai pengguna. Pengguna yang sedang rapat online sambil mendengarkan musik, atau yang memakai headphone untuk dua perangkat sekaligus, bisa mengalami pengalaman yang buruk hanya karena mengunjungi sebuah situs. Ini adalah kasus langka di mana teknik pelacakan memiliki dampak nyata pada hardware pengguna — bukan sekadar data yang dikumpulkan di balik layar.

Konteks Lebih Luas: Fingerprinting WebAudio

WebAudio fingerprinting sebenarnya sudah diteliti sejak lama. Studi akademis menunjukkan bahwa sidik jari audio bisa sangat stabil dan beragam antar perangkat — kombinasi yang ideal untuk pelacakan. Sinyal osilator tertentu, setelah melewati dynamics compressor dan dirender offline, menghasilkan nilai numerik yang konsisten untuk perangkat yang sama dan berbeda antar perangkat yang berbeda.

Beberapa poin penting dari riset ini:

• Stabilitas tinggi — fingerprint audio untuk perangkat yang sama sangat konsisten dari waktu ke waktu, membuatnya andal untuk pelacakan jangka panjang.
• Keragaman tinggi — kombinasi DAC, driver, dan stack audio menghasilkan banyak nilai berbeda antar perangkat, sehingga fingerprint cukup unik.
• Sulit diblokir — tidak seperti cookie, fingerprint tidak bisa dihapus oleh pengguna; proteksi harus datang dari browser.
• Efek samping nyata — seperti kasus AliExpress, pemrosesan audio yang agresif bisa berdampak pada fungsi audio perangkat secara keseluruhan.

Yang membuat kasus AliExpress menarik adalah konvergensi dua masalah: teknik pelacakan yang invasif, dan dampak fungsional yang nyata pada hardware pengguna. Ini menunjukkan bahwa keputusan pelacakan di sisi situs bisa memiliki konsekuensi di luar sekadar privasi data — ia bisa menyentuh pengalaman pengguna secara langsung.

Apa yang Bisa Dilakukan Pengguna

Meskipun fingerprinting WebAudio sulit diblokir sepenuhnya, ada beberapa langkah yang bisa mengurangi paparan:

1. Browser dengan proteksi fingerprinting

Browser yang fokus privasi seperti Firefox (dengan Enhanced Tracking Protection), Brave, dan Tor Browser memiliki perlindungan fingerprinting bawaan. Brave khususnya memiliki proteksi agresif terhadap WebAudio fingerprinting — bisa memblokir atau menambahkan noise pada sinyal audio, sehingga fingerprint yang dihasilkan tidak akurat.

2. Ekstensi pemblokir

Ekstensi seperti uBlock Origin dan Privacy Badger memblokir banyak script pelacakan, termasuk yang melakukan fingerprinting. Meski tidak semua teknik bisa diblokir, ini mengurangi permukaan pelacakan secara signifikan. uBlock Origin juga bisa memblokir request ke domain pelacak yang dikenal.

3. Isolasi situs yang mencurigakan

Untuk situs yang dikenal agresif dengan pelacakan, gunakan profil browser terpisah, mode incognito, atau browser khusus yang tidak menyimpan state jangka panjang. Ini membatasi fingerprinting lintas situs dan mengurangi nilai data yang dikumpulkan.

4. Matikan Bluetooth saat tidak dipakai

Ini bukan solusi pelacakan, tapi untuk menghindari gangguan multipoint: jika mengalami masalah audio saat browsing di situs tertentu, mematikan Bluetooth sementara bisa menghentikan konflik pipeline audio.

5. Gunakan DNS dan firewall tingkat aplikasi

Pemblokir DNS seperti NextDNS atau AdGuard bisa memblokir domain pelacak yang dikenal, termasuk yang dipakai situs e-commerce besar. Ini mengurangi jumlah script yang bisa dijalankan sebelum halaman dirender.

Privacy dan Regulasi: Kenapa Fingerprinting Jadi Perhatian Regulator

Fingerprinting bukan sekadar masalah teknis — ini masalah regulasi. Di bawah GDPR (Eropa), pelacakan yang membutuhkan persetujuan mencakup teknik fingerprinting ketika digunakan untuk mengidentifikasi perangkat secara unik. Regulator Eropa sudah berulang kali menegaskan bahwa fingerprinting termasuk dalam definisi data pribadi dan membutuhkan dasar hukum yang jelas.

Kasus AliExpress relevan di sini karena dua alasan. Pertama, AliExpress melayani pasar Eropa, jadi praktik pelacakannya tunduk pada GDPR. Kedua, fingerprinting WebAudio yang berjalan tanpa persetujuan dan tanpa pemberitahuan berpotensi melanggar prinsip transparansi dan consent. Meskipun belum ada tindakan regulasi yang dikonfirmasi terkait temuan spesifik ini, kasus ini menambah daftar panjang praktik pelacakan yang menjadi sorotan.

Di luar Eropa, regulasi privasi juga bergerak: Brasil (LGPD), California (CCPA/CPRA), dan berbagai negara Asia mulai memberlakukan aturan serupa. Untuk perusahaan teknologi yang melayani pengguna global, praktik pelacakan yang agresif adalah risiko hukum yang nyata — bukan hanya risiko reputasi.

Bagaimana Fingerprinting Berbeda dari Cookie

Banyak pengguna masih menganggap "hapus cookie" sebagai solusi privasi universal. Realitanya, fingerprinting bekerja berbeda:

• Cookie — disimpan di browser, bisa dihapus, diblokir, dan kedaluwarsa. Pengguna punya kontrol langsung.
• Fingerprint — tidak disimpan di browser, tapi dihitung dari karakteristik perangkat; tidak bisa dihapus dan sulit diblokir.
• Supercookie dan teknik gabungan — menggabungkan cookie dengan fingerprint untuk pelacakan yang lebih tahan banting.

Inilah kenapa fingerprinting dianggap lebih invasif: pengguna tidak punya mekanisme kontrol yang setara. Satu-satunya pertahanan efektif ada di sisi browser — itulah kenapa browser yang fokus privasi (Firefox, Brave, Tor) menerapkan proteksi fingerprinting secara bawaan.

Kesimpulan

Temuan tentang fingerprinting WebAudio senyap di AliExpress adalah pengingat bahwa pelacakan online tidak selalu terbatas pada data — ia bisa menyentuh perangkat keras yang sedang lo pakai. Bagi pengguna, langkah paling praktis adalah menggunakan browser dengan proteksi fingerprinting, memasang pemblokir script, dan tidak menganggap remeh situs yang berperilaku agresif. Bagi pengembang web, kasus ini jadi studi: teknik pelacakan yang invasif tidak hanya bermasalah secara etika, tapi juga bisa merusak pengalaman pengguna — dan itu pada akhirnya merugikan situs itu sendiri.

Di era di mana privasi digital semakin menjadi perhatian regulator dan pengguna, praktik pelacakan yang agresif adalah risiko reputasi yang nyata. Kasus AliExpress menunjukkan bahwa bahkan raksasa e-commerce bisa terjebak dalam praktik yang merugikan penggunanya sendiri — dan komunitas, jurnalis, serta peneliti keamanan akan terus mengawasi.