Після арешту відомого хакера Microsoft нарешті визнала: у Windows 11 є ідентифікатор, який неможливо вимкнути

Після затримання 19-річного хакера в аеропорту Гельсінкі Microsoft вперше публічно визнала: у Windows 11 працює постійний ідентифікатор пристрою GDID (Global Device Identifier), який неможливо повністю вимкнути. Про це стало відомо з розсекреченого федерального обвинувального висновку у справі проти учасника угруповання Scattered Spider — саме GDID допоміг слідству простежити активність підозрюваного через VPN, проксі-сервери й три країни.

Хакера вирахували через його ж Windows

У квітні 2026 року фінська поліція за ордером Інтерполу затримала в аеропорту Гельсінкі 19-річного громадянина з двома жорсткими дисками на 2 ТБ. У липні прокуратура США розсекретила справу проти Пітера Стоукса — імовірного учасника Scattered Spider, підозрюваного у зломі ювелірного ритейлера в травні 2025 року та вимозі викупу в $8 млн.

За версією слідства, зловмисники обдзвонювали службу підтримки, видаючи себе за співробітників, і переконували скинути паролі трьох акаунтів, два з яких мали права адміністратора. Далі вони встановили тунельний інструмент ngrok, вивантажили близько 77 ГБ даних на Amazon і надіслали лист із вимогою викупу. Компанія відмовилася платити й витратила близько $2 млн на усунення наслідків.

Що таке GDID і чому VPN не допомагає

Слідчі підняли акаунт ngrok, зареєстрований через проксі Tzulo, — сама IP-адреса була “мертвим кінцем”. Але Microsoft передала ФБР дані про GDID g:6755467234350028: пристрій із таким ідентифікатором заходив на сторінку реєстрації ngrok у ту саму хвилину, а через три години — на сайт зламаної компанії з тієї самої проксі-адреси. У судових документах представник Microsoft описав GDID як “постійний ідентифікатор на рівні пристрою для унікального визначення встановлення Windows” у межах певних сервісів компанії.

Перевстановлення дає новий GDID, але Microsoft визнає: один акаунт може мати кілька таких ідентифікаторів, і компанія має всі підстави пов’язати новий номер зі старим через той самий акаунт та історію активації.

Слід тягнувся через чотири країни

Відновивши хронологію IP-адрес пристрою, слідчі зіставили її з входами в акаунти, вже пов’язані зі Стоуксом: у червні 2024-го — Таллінн, одночасно зі Snapchat і Facebook; у листопаді — Нью-Йорк, поряд з Apple-акаунтом і фото з готелю; у лютому 2025-го — Таїланд, зі знімком “WALDORF ASTORIA BANGKOK” днем раніше. Жодна з цих подій окремо не виглядала підозріло, але той самий GDID регулярно з’являвся точно в ті самі проміжки часу, що й акаунти підозрюваного, — і саме це стало доказовою базою справи.

“Windows перетворили на систему стеження”

Дослідник Костін Райю в подкасті Three Buddy Problem запитав, наскільки схожі механізми діють на інших платформах, а дослідник безпеки Метью Хіккі назвав Windows “системою стеження”. Група Massgrave, автори Microsoft Activation Scripts, зазначила: встановлення Windows передає Microsoft дані про обладнання й отримує ідентифікатори для Store й ліцензування, тож уникнути GDID неможливо без порушення активації.

На відміну від Apple, де рекламний ідентифікатор супроводжується запитом дозволу й можливістю скидання, GDID не має жодного екрана згоди — його присвоюють автоматично при вході в акаунт Microsoft.

Що можна зробити

Повністю прибрати ідентифікатор не можна, каже Massgrave, — це зламало б активацію. Але кілька налаштувань обмежують обсяг даних: локальний облік замість Microsoft-акаунту; вимкнена опційна діагностика й персоналізована реклама в “Конфіденційність і безпека”; вимкнений хмарний пошук. Для журналістів чи активістів видання радить перейти на Linux із Tor, оскільки GDID залежить не від VPN, а від інсталяції системи.

Windows Latest наголошує: за понад десятиліття Microsoft опублікувала про GDID лише одне речення — у довідці Azure Monitor для адміністраторів, тоді як ідентифікатор працює на пристроях приблизно 1,6 мільярда користувачів Windows.

Джерело: Windows Latest