За нами следят и нами манипулируют...

В начале июля США объявили об экстрадиции 19-летнего Питера Стоукса из Европы по обвинению в членстве в печально известной хакерской группе Scattered Spider. Однако это дело примечательно тем, что, согласно рассекреченному обвинительному заключению, компания Microsoft сыграла ключевую роль в установлении связи Стоукса с предполагаемыми хакерскими преступлениями.

По версии следствия, в мае 2025 года Стокс взломал неназванный магазин элитных ювелирных изделий, используя VPN . В 39-страничном обвинительном заключении говорится, что ФБР, используя данные Microsoft, обнаружило, что его IP-адрес был связан с идентификатором устройства Microsoft, известным как Global Device ID (GDID).

Питер Стоукс и украденные им сокровища…

«По словам представителя Microsoft, глобальный идентификатор устройства (GDPR) в экосистеме Windows — это постоянный идентификатор на уровне устройства, предназначенный для уникальной идентификации установки операционной системы Windows на устройстве, будь то физическое устройство (например, мобильный телефон или ноутбук) или виртуальная машина, в рамках определенных служб и сценариев Microsoft», — поясняется в жалобе.

Глобальный идентификатор устройства (GDID) не вызывает особого удивления, учитывая, что присвоение уникального идентификатора каждой учетной записи или устройству является стандартной практикой, чтобы поставщик технологий мог распознавать и различать их. Однако жалоба показывает, что Microsoft может связывать GDID со сторонними сервисами и временем, что теоретически дает Редмонду возможность отслеживать онлайн-активность пользователя. Другими словами, Редмонд может отслеживать онлайн-активность вашего ПК с Windows без использования сторонних файлов cookie браузера.

Было обнаружено, что Стокс использовал инструмент веб-разработки ngrok для обхода сетевой защиты ювелирного магазина. В жалобе говорится, что у Microsoft имелись записи, свидетельствующие о том, что 12 мая 2025 года в 19:21 UTC GDID, связанный с компьютером Стокса, «получил доступ, среди прочих страниц ngrok, к странице /ювелирный магазин/, странице ngrok для создания учетной записи ngrok».

В документе также указывается, что записи Microsoft показали, что GDID обращался к «множеству сайтов» с серверов Tzulo, хостинг-провайдера , чтобы осуществить взлом.

Таким образом, тот факт, что федеральные следователи использовали идентификатор Microsoft для поимки предполагаемого хакера, вызывает опасения, что он может быть использован в других целях слежки. «Microsoft Windows — это программное обеспечение для слежки», — заявил эксперт по кибербезопасности Мэтью Хики в своем твите.

Идентификатор устройства кратко упоминается на этой странице поддержки, но Microsoft пока не давала никаких комментариев по этому поводу.
Согласно обвинительному заключению, пользователь Windows может самостоятельно сбросить GDID, хотя это и непросто. «GDID остается неизменным после обновлений операционной системы Windows на устройстве, но переустановка Windows, как на том же устройстве, так и на другом, будет привязана к новому уникальному GDID», — говорится в судебном документе. В сноске добавляется: «Таким образом, у одного пользователя Microsoft может быть несколько GDID».

Тем не менее, мы подозреваем, что Microsoft не составит труда связать новый установленный GDID со старым, поскольку компания может использовать другие идентификаторы, такие как логин учетной записи Microsoft или IP-адрес, и сопоставить их. В ответ на потенциальную возможность слежки некоторые пользователи уже изучают способы  локализации и удаления идентификатора GDID.

Между тем, исследователь в области кибербезопасности Костин Райу задается вопросом, обладают ли другие технологические компании аналогичными возможностями слежки, учитывая использование уникальных идентификаторов.

«Я бы также спросил: насколько это распространено на устройствах Apple? Происходит ли это в том же масштабе? Происходит ли это на еще более высоком уровне — привязывают ли они это к аппаратному обеспечению, так что даже если вы переустановите программу, это не будет иметь значения, потому что это зависит от оборудования?» — сказал он в подкасте Three Buddy Problem. «Вполне вероятно, что этим промышляет только наглая Microsoft. И, вероятно, если вы хотите быть полностью анонимным, вам, возможно, в какой-то момент придется использовать Linux, FreeBSD или что-то подобное для своих сред разработки и туннелировать все через прокси, Tor, VPN и тому подобное».

Майкл Мэй