При помощи созданного Microsoft идентификатора GDID следователи ФБР смогли связать подростка со взломом, который приписывается хакерской группировке Scattered Spider. Инцидент вызвал серьёзные опасения по поводу конфиденциальности и возможностей слежки при помощи Windows.
Питер Стоукс. Источник изображения: justice.gov
На минувшей неделе США объявили об экстрадиции 19-летнего Питера Стоукса (Peter Stokes) из Европы — он обвиняется в членстве в группировке киберпреступников Scattered Spider. Случай выделяется тем, что с преступлениями его помогла связать Microsoft. В мае 2025 года Стоукс, по версии следствия, используя VPN, взломал ресурс ювелирного магазина. Чтобы отследить его, в ФБР использовали разработанный Microsoft идентификатор устройства Global Device ID (GDID) — он остаётся уникальным и постоянным с каждой установкой Windows на физическое или виртуальное устройство.
Существование глобального идентификатора — стандартная практика, позволяющая разработчику распознавать и различать клиентов. Важно, что Microsoft может связывать GDID со сторонними службами и временны́ми метками, то есть отслеживать онлайн-активность ПК с Windows без, например, сторонних файлов cookie в браузере. Для обхода сетевой защиты на ресурсе ювелирного магазина использовалась служба туннелирования ngrok, и у Microsoft оказались записи, свидетельствующие, что компьютер Стоукса получил доступ к странице создания учётной записи на сервисе.
Идентификатор устройства кратко упоминается на одной из страниц поддержки Microsoft, но компания никогда публично не комментировала наличие этого средства. Пользователь, гласят материалы следствия, может сбросить GDID самостоятельно, хотя это и непросто. Он сохраняется после обновления Windows, но меняется после переустановки. То есть у одного пользователя может быть несколько GDID, но Microsoft, вероятно, не составит труда связать несколько таких идентификаторов, зная, например, логин учётной записи или IP-адрес пользователя.
Общественность, узнав об инциденте, задалась несколькими вопросами. Например, как обнаружить и удалить GDID? И есть ли нечто подобное в экосистеме Apple, которая теоретически может создавать идентификаторы на уровне не программной, а аппаратной части? Есть мнение, что для сохранения анонимности теперь приходится пользоваться бесплатными ОС Linux или FreeBSD, а также туннелировать трафик через прокси, VPN или Tor.