【悲報】Windowsに「絶対消せない追跡ID」が仕込まれていた…FBIがVPN越えのハッカーを特定した理由
【悲報】Windowsに「絶対消せない追跡ID」が仕込まれていた…FBIがVPN越えのハッカーを特定した理由
2026年4月、フィンランド・ヘルシンキ空港で19歳の男が拘束された。日本の便に搭乗しようとしていたピーター・ストークス容疑者を待っていたのはインターポールの赤手配書だった。所持品は2台の2テラバイトハードドライブのみ。米国の連邦裁判所に引き渡された彼の容疑は、サイバー犯罪グループ「スキャッタースパイダー」への関与。1億ドル以上の身代金を要求したとされる事件の重要参考人だった。
ストークス容疑者はVPNを使い、プロキシを挟み、複数の偽名を使い分けていた。完全に匿名で活動しているはずの人物を、FBIはどのようにして特定したのか。その鍵となったのが、Windowsに標準で搭載されていた「GDID（グローバルデバイスアイデンティファイア）」と呼ばれる16桁の識別番号だった。
事件の発端は2025年5月。米国の高級宝石業者に対して、攻撃者がヘルプデスクに電話をかけ、従業員になりすましてパスワードと多要素認証のリセットを要求。わずか2〜3時間で管理者アカウント2つを奪取した。ソーシャルエンジニアリングという古典的な手口だったが、被害は甚大で、77GBものデータが流出し、800万ドルの身代金が要求された。
FBIが注目したのは、攻撃者が使用したngrokアカウントの作成記録と、同じタイミングでGDIDを持つデバイスがアクセスしていた事実だった。さらに約3時間後、同じGDIDのデバイスが同じVPN経由で被害企業のウェブサイトにアクセスしていた。GDIDから得られたのは時刻と接続先の履歴だけではない。FBIはこのGDIDに紐づくIPアドレスの履歴を、ストークス容疑者のSnapchat、Apple、Facebook各アカウントのIPアドレスと照合。エストニア・タリン、ニューヨークと、数ヶ月にわたって複数の国で使われたIPが、GDIDとSNSアカウントの両方で一致した。
VPNは通信経路を隠し、IPアドレスは接続ごとに変わる。しかしGDIDは変わらない。VPNの先にいるデバイスが同じWindowsインストールである限り、同じ番号がMicrosoftのサーバーに記録され続ける。この性質が、匿名を盾にしたストークス容疑者の身元を暴く決定打となった。
知られざるGDIDの仕組み
GDIDはどのようにして生成されるのか。Windowsをインストールしてインターネットに接続すると、MicrosoftアカウントインアシスタントというサービスがMicrosoftのサーバーにリクエストを送る。リクエストにはマザーボードのメーカーやシリアル番号、SMBIOS UID、ディスクのシリアル番号、MACアドレス、TPMの公開鍵などのハードウェア情報が含まれる。サーバーがこれらの情報から64ビットの番号を生成し、これをGDIDとして返す。この番号はMicrosoft内部ではPUID（パスポートユニークID）と呼ばれ、Windows 95のパスポート時代から続く名称が今も使われている。
重要なのは、GDIDがデバイス側ではなくMicrosoftのサーバー側で管理されている点だ。レジストリの「HKCU\Software\Microsoft\IdentityCRL\ExtendedProperties」に保存されている値は、サーバー側の情報を映し出した単なるコピーに過ぎない。しかもこの値は暗号化されておらず、管理者権限がなくても読み取ることができる。
GDIDはWindowsの様々な機能で使用されている。Microsoftストアの購入とライセンス認証、クリップボード同期、Windowsプッシュ通知、配信最適化、そしてテレメトリデータ。オプションの診断データを有効にしていれば、クラッシュレポートやハートビートの全てにこの番号が付与される。Edgeの拡張診断を有効にしていた場合は、閲覧履歴もGDIDと共にMicrosoftに送信される。ストークス事件で証拠として機能したのは、まさにこの閲覧履歴とGDIDの紐付けだった。
消せない番号との闘い
このGDIDを消そうとした場合の結果は、追跡の根深さを物語っている。レジストリの値を別の番号で上書きしても、数分で元に戻る。デバイス証明書ごと別のマシンからコピーしても、Microsoftのサーバーが新しいPUIDを強制発行する。仮想マシン上でハードウェア情報まで偽装しても、物理TPMの壁を越えられない。唯一の方法は、マザーボード、ディスク、ネットワークアダプターを全て交換して物理的に別のマシンにすることか、仮想マシン上でWindowsを使うことだけだ。
MicrosoftはGDIDについてほとんど公表してこなかった。公式ドキュメントはAzure Monitorのリファレンスに1行あるのみで、専用のサポートページは存在しない。仕組みの詳細が初めて広く語られたのは、ストークス事件の起訴状が開封された時だった。Windowsには診断データのレベルを下げる設定やアクティビティ履歴を無効にする設定があるが、これらはGDID自体を消す手段ではない。GDIDに紐づく追加情報の量を減らすことはできても、識別子そのものはMicrosoftのサーバーに残り続ける。
ネットの反応
つまりWindowsは最初から全ユーザーに追跡番号を仕込んでたってこと？やっぱMSやべえな
GDID消そうと試行錯誤したけどレジストリ書き換えても復活するのマジでキモい。TPM使ってる時点でお手上げ
犯罪者捕まえる役に立ったのは分かるけど、自分も同じ仕組みで追跡されてると思うと気持ち悪いわ
Linuxに移行したくなる動画。でも結局Microsoft製品から完全に逃れるのは無理なんだよな
10年以上前からあったのに一切公表してなかったのが一番の問題でしょ。黙って追跡って完全に監視社会
AIの所感
GDIDの問題は、追跡そのものよりも「存在を知らされていなかった」という点にある。犯罪捜査に役立つという側面は理解できるが、同意なく全ユーザーに永続的な識別子を振り、それを10年以上秘匿していた事実は、プライバシー意識の高まった現代において大きな問題と言わざるを得ない。同様のデバイス識別子は他のOSにも存在するが、多くの場合は明示的な説明や同意取得のプロセスがある。GDIDにそれがなかったことは、Microsoftの透明性に対する姿勢に疑問を投げかける。安全と監視は表裏一体。その線引きを誰がどのように行うのか、GDID事件は私たちに根本的な問いを突きつけている。