Una grave situación ha sido tema de conversación entre expertos de seguridad y privacidad. Esto porque Windows cuenta con un identificador persistente que Microsoft usa para reconocer una instalación específica del sistema operativo y que puede convertirse en una pieza clave durante una investigación criminal.
La existencia de este identificador quedó expuesta en una causa del Departamento de Justicia de Estados Unidos, donde se utilizó por el FBI para vincular un computador con un presunto integrante del grupo hacker «Scattered Spider».
Eso sí, la investigación no valida que el identificador revele por sí solo la identidad de una persona. Sin embargo, muestra que, al combinarlo con registros de otros servicios, fue posible reconstruir la actividad atribuida al sospechoso, incluso cuando utilizó redes privadas virtuales (VPN) para ocultar su dirección IP.
Windows ayudó a reconstruir la actividad del equipo investigado
En la acusación presentada por el Departamento de Justicia, Peter Stokes, de 19 años, fue extraditado desde España y enfrenta cargos por su presunta participación en ataques informáticos atribuidos a Scattered Spider. Durante la investigación, Microsoft entregó registros asociados al Global Device Identifier (GDID), un identificador persistente vinculado a una instalación de Windows.
Los investigadores determinaron que ese mismo GDID entró al sitio de ngrok en el momento en que se creó una cuenta utilizada posteriormente durante la intrusión contra una empresa estadounidense de joyería de lujo. Horas después, el mismo identificador también registró un acceso a la web de la compañía desde el mismo servidor VPN utilizado para el registro de la cuenta, un elemento que permitió relacionar ambas actividades con el mismo equipo.
La denuncia menciona que los atacantes obtuvieron acceso mediante ingeniería social dirigida al servicio de soporte de la empresa, comprometieron cuentas con privilegios administrativos e instalaron herramientas como ngrok y Teleport para mantener acceso remoto. Después, robaron alrededor de 77 GB de información y exigieron un rescate de 8 millones de dólares. La compañía decidió no pagar y estimó en aproximadamente 2 millones de dólares los costos asociados a la respuesta al incidente.
El documento judicial también describe que el FBI complementó la información proporcionada por Microsoft con registros obtenidos de otros proveedores, incluidos Apple, Facebook y Snapchat, además de datos de viajes internacionales. El cruce de esos antecedentes permitió atribuir la actividad investigada al mismo dispositivo utilizado por el acusado.
¿Qué es el GDID de Windows?
La denuncia judicial define el Global Device Identifier como un identificador persistente que Microsoft utiliza para distinguir de forma única una instalación de Windows, tanto en equipos físicos como en máquinas virtuales, a través de distintos servicios de la compañía. El documento añade que el identificador permanece igual después de las actualizaciones del sistema operativo, pero cambia cuando Windows se reinstala, por lo que un mismo usuario puede tener varios GDID con el paso del tiempo.
Tras conocerse el caso, Microsoft confirmó públicamente la existencia de este identificador y explicó que no existe una opción para desactivarlo completamente. La empresa indicó que el GDID es parte del funcionamiento interno de diversos servicios del ecosistema Windows.
Las configuraciones de privacidad del sistema permiten limitar algunos datos de diagnóstico, desactivar el identificador publicitario y restringir determinadas funciones relacionadas con la recopilación de información. No obstante, esas opciones no eliminan el GDID, ya que el identificador continúa asociado a la instalación del sistema operativo.
Esta investigación volvió a poner sobre la mesa el debate sobre la telemetría de Windows y el uso de identificadores persistentes. Mientras algunos especialistas cuestionaron el nivel de información que estos mecanismos pueden aportar durante una investigación, el expediente judicial muestra que el GDID fue solo uno de varios elementos utilizados por las autoridades para reconstruir la actividad atribuida al acusado.
