酒呑ガジェット

〜静かな環境であなたに...こちらは音のでないコンテンツです。〜

【恐怖】あなたのWindowsに「消せない16桁の番号」 FBIがVPN越しのハッカーを特定した「GDID」の全貌

【恐怖】あなたのWindowsに「消せない16桁の番号」 FBIがVPN越しのハッカーを特定した「GDID」の全貌

VPN、プロキシ、偽名――すべてを駆使して身元を隠していたはずのサイバー犯罪者が、わずか16桁の番号ひとつで追い詰められた。2026年4月、フィンランドのヘルシンキ空港で拘束された19歳の男。彼が属していたとされるサイバー犯罪グループは、米国の高級食品業者から77GB以上のデータを窃取し、800万ドルの身代金を要求していた。FBIが犯人を特定した決め手は、IPアドレスでもアカウント情報でもなかった。Windowsに標準で組み込まれ、ユーザーの同意なしにMicrosoftのサーバーへ送信され続ける「GDID（グローバル・デバイス・アイデンティファイア）」だった。

VPNをすり抜ける「変わらない番号」

事件は2025年5月12日にさかのぼる。攻撃者はVPNとプロキシを経由し、複数の偽名を使い分けて標的企業のヘルプデスクに電話をかけ、ソーシャルエンジニアリングで管理者権限を奪取した。通信経路は隠され、IPアドレスは接続ごとに変わっていた。しかし、Microsoftの記録には、攻撃に使われたngrokアカウントの作成時刻と同一のGDIDを持つデバイスが、同じVPN経由で被害者のネットワークにアクセスしていた履歴が残っていた。

FBIはこのGDIDに紐づくIPアドレス履歴を、容疑者のSnapchat、Apple、FacebookといったSNSアカウントのIP履歴と突き合わせた。エストニアのタリンからニューヨークまで、数ヶ月にわたって複数の国で使用されたIPアドレスが、GDIDとSNSアカウントの双方で一致。国務省の渡航記録やSNSに投稿されたホテルの写真までもが、その一致を裏付けた。VPNは通信経路を隠せても、デバイスそのものを識別するGDIDを隠すことはできなかったのだ。

あなたのPCにも埋め込まれている「永続識別子」

Windowsをインストールし、インターネットに接続するその瞬間から、バックグラウンドで「WaaS Medic」や「Microsoft Account Sign-in Assistant」といったサービスが動き出す。これらはマザーボードのシリアル番号、SMBIOS UUID、ディスクのシリアル番号、MACアドレス、TPMの公開鍵といったハードウェア情報をMicrosoftのサーバーへ送信する。サーバー側でこれらを元に生成される64ビットの番号こそがGDIDであり、内部的には「PUID（パスポート・ユニークID）」と呼ばれている。

注目すべきは、この番号がデバイス側で計算されるのではなく、Microsoftのサーバー側で割り当てられる点だ。レジストリのHKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IdentityCRL\StoredIdentities\\ExtendedPropertiesにある「LID」という値として、暗号化されずプレーンテキストで保存される。管理者権限すら不要で、そのユーザーとして動作するあらゆるプロセスが読み取り可能だ。

GDIDが紐づく驚愕のデータ範囲

独立研究者のリバースエンジニアリングにより、GDIDが利用されている範囲の広さが明らかになっている。

  • Microsoft Storeの購入履歴とライセンス管理
  • Windowsのデジタルライセンス認証
  • Phone Linkやクリップボード同期を担う「クロスデバイスプラットフォーム」
  • Windowsプッシュ通知サービスのチャネルURI
  • 配信最適化（Delivery Optimization）におけるグローバルデバイスID
  • Microsoft.Windows.で始まるETWイベントのdeviceフィールド
  • オプションの診断データを有効にしている場合、クラッシュレポートやハートビートの全て
  • Edgeの拡張診断を有効にしていた場合、閲覧履歴

ストークス容疑者の事件で証拠として機能したのも、まさにこの閲覧履歴とGDIDの紐付けだった。ユーザーが「診断データのレベルを下げる」「アクティビティ履歴を無効にする」といった設定を変更しても、GDIDそのものを消すことはできない。紐づく追加情報の量を減らせるだけで、識別子そのものはMicrosoftのサーバーに残り続ける。

番号を消そうとしても「数分で元通り」

GDIDを削除・変更しようとする試みは、ことごとく失敗に終わる。

  1. レジストリの値を書き換える：数分で元に戻る。WaaS Medicがネットワーク通信を行った時点で、デバイス証明書に埋め込まれた本来のPUIDとの不一致を検知し、サーバー側の番号で上書きし直す。
  2. デバイス証明書ごと別マシンからコピーする：ローカルでは通るが、WaaS MedicがMicrosoftに認証を行う段階で、証明書が主張するハードウェア情報と実際のハードウェア情報が一致しないため、サーバーが新しいPUIDを強制発行する。
  3. 仮想マシン上でハードウェア情報まで偽装する：SMBIOS UUID、シリアル、MACアドレスはVMwareやQEMUの設定で書き換え可能だが、物理マシンのTPMに格納されたエンドースメントキーの秘密鍵はチップの外に取り出せない。Microsoftのサーバーが公開鍵でノンスを暗号化し、デバイスに復号を求める検証を行えば、仮想マシンのTPMでは応答できない。
  4. IdentityCRLのレジストリキーを丸ごと削除して再登録させる：新しいPUIDが発行されるが、ハードウェア情報は変わっていないため、Microsoftのサーバー側では同じデバイスとして紐付けられる。番号が変わっても追跡は途切れない。

唯一の回避策は、マザーボード、ディスク、ネットワークアダプターをすべて交換して物理的に別のマシンにするか、仮想マシン上でWindowsを使用することだ。しかし、仮想マシンであってもホストマシンのハードウェア情報がベースになる限り、同様の追跡は可能である。

10年以上、誰にも知らされずに続いた「帳簿」

GDIDに関するMicrosoftの公式ドキュメントは、Azure Monitorのリファレンスにある一行のみだった。「グローバルデバイスIDというカラムの説明として、Microsoftがグローバルデバイス識別子として内部で使用する識別子」と書かれているだけで、専用のサポートページも存在しない。仕組みの詳細が公に語られたのは、ストークス事件の起訴状が開封された時が初めてだった。

Windowsには診断データのレベルを下げる設定がある。アクティビティ履歴を無効にする設定もある。だがこれらはGDID自体を消す手段ではない。GDIDに紐づく追加情報の量を減らすことはできるが、識別子そのものはMicrosoftのサーバーに残り続ける。他のOSにもデバイス識別子は存在する。だが多くの場合、ユーザーに対して説明があるか、同意を求めるプロンプトが表示される。GDIDにはそのどちらもなかった。

連邦裁判の起訴状という形で、10年以上続いてきたデバイス識別子の存在が初めて広く知られた。PowerShellで以下のコマンドを実行すれば、自分のGDIDを確認できる。

Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\IdentityCRL\StoredIdentities\*" | ForEach-Object { $_.LID } | ForEach-Object { "G{0:X}" -f [convert]::ToInt64($_,16) }

ストークス事件で証拠になったのと同じ形式の番号が、あなたの画面に出てくる。

泥棒を捕まえた帳簿と、あなたの行動を記録した帳簿

ある街に帳簿をつける者がいた。住人が朝の道を歩き、昼にどの店に入り、夜どこへ帰るか。すべてが正確に記録されていた。帳簿の存在を住人は知らなかった。知らせる義務も誰も感じていなかった。帳簿をつける者にとってそれは業務だった。住人の安全を守るために必要な業務であり、記録は当然のことだった。

ある夜、泥棒が捕まった。帳簿のおかげだった。泥棒は遠くの町から来て3つの偽名を使い、毎回違う道を通っていた。それでも帳簿にはすべてが書かれていた。偽名のどれを使おうが、番号は同じだった。町の人々は安堵した。帳簿があってよかったというものもいた。

だが帳簿には泥棒の行動だけが記録されていたわけではなかった。パン屋がいつもより早く店を閉めた日も、教師が見慣れない通りを歩いた夕方も、子供が友人の家から遅く帰った火曜日も、すべてが同じ精度で同じ帳簿に同じ筆跡で書かれていた。泥棒の行とパン屋の行は隣合っていた。

泥棒が捕まった後、帳簿は閉じられなかった。翌朝も記録は続いた。10人の1人が言った。「帳簿を見せて欲しい。」帳簿をつける者は答えた。「これは内部で使うものだ。あなたに見せる理由がない。」住人は聞いた。「では私のページには何が書いてあるのか。」帳簿をつける者は笑っていった。「あなたの名前は書いていない。番号で管理している」

住人は自分の家の棚を開けた。そこに帳簿の写しがあった。薄い紙に自分の名の代わりに番号が書かれていた。番号を消しても翌朝にはまた書かれていた。棚を壊しても新しい棚が届いた。番号を変えることはできた。帳簿をつける者が自分と同じ番号に書き直すまでの数分間だけ。

住人は棚を燃やすことも考えたが、燃やせば家が暗くなる。暖炉も使えなくなる。棚は家の一部だった。

今朝あなたは何かの検索をした。昼に何かのページを開いた。夜にここに来た。そのどれかはまだ覚えのある行動だろう。帳簿をつける者もまた覚えている。あなたの名前ではなく番号で。

帳簿があったから泥棒は捕まった。帳簿があるからあなたの行動も記録されている。この2つは同じ帳簿の同じページに書かれている。片方だけを破ることはできない。泥棒を捕まえた帳簿とあなたの行動を記録した帳簿は別のものではない。安全と記録の間に誰も線を引いていない。引くべきかどうかもまだ誰も決めていない。あなたの番号に今日も書き足された行は、安全のためか、それとも監視のためか。

Windows GDID追跡システムの概念図。マザーボード上に発光する16桁の識別番号がMicrosoftのサーバーへ送信され、VPNを経由しても同一デバイスとして追跡される様子を表現したサイバーセキュリティイメージ

ネットの反応

銃と同じ、道具は仕事毎に用意する事

犯罪の大きさにしては知識が追い付いて無いような気がする。年齢的にも闇バイトの使い捨て要員かな、黒幕は捕まらない気がする

プライバシーの問題と利便性の問題で毎回揺れるGDIDやUUIDの類

Linuxにも似たような/sys/class/dmi/id/product_uuidはありますが、あくまでハードウェア構成からローカルで生成されるもので外部のサーバーと同期されるものではありません。PCのパーツを交換したりVMで動かすことで変えることが可能。Windowsでネットにつなぐときは常に追跡されていると心得ましょう

MicrosoftのWindows搭載端末識別能力が完璧で逆に怖い

Windows使わなきゃエエやん

つまり、パソコンは新品で格式のあるサイトから直販で購入しろということだな

この「しかけ」を使うのがならず者を捕まえる善意の人だけならいいですが、そうではないと思います。現実の世界は、予告なしに選挙を禁止したり、暴力で言論を封殺したりする悪意の人で満ちています。彼らは自分の思う通りにならない、自由な意思を持つ個人をこの「しかけ」を使って抑え込もうとするでしょう。この「しかけ」が許容できるものなのかどうか、よく考えるべきだと思います

個人情報を地域外に流出させてるなら、EUさんがMSにがっぽり制裁金を科すのかな

他と組み合わせない限り番号から個人を特定出来ないから問題無いって感じだろうけど、またEUで問題視されてEU版が別に作られるとか有りそう

プライバシーの侵害、ガチのゴミ機能

神回

中古で買ったゲーム機が前の持ち主が割れゲーマーで変なプログラム入れたり改造チップ載せるとメーカーがネットサービス提供拒否したりするからPCだけの話じゃない理由で

Windows UpdateでWindows 11のライセンス消し飛んで、リテール版買う羽目になったことがあったんだけれど、わいのDevice IDはどこかにいってしまったんやろか

捨てても捨てても帰ってくる呪いの人形（ただし、捨てるのは犯罪者だけ）

VMで実行してるLINUXから攻撃したらどうなるんだろう？GDIDは送信されないのかな？それともホストのWindowsを経由してるからGDIDは残るのか？

だから、プーチンは「Windows を使わない」のか…

やっぱりそろそろLinuxかなー

ずっと維持されるんだと、中古で買ったPCの前所有者が犯罪やってたら…

AIの所感

この事件が突きつけるのは、セキュリティとプライバシーの根源的なトレードオフではない。「安全のために記録する」という建前の裏で、ユーザーの知らぬ間に、同意なしに、そしてオプトアウト不能な形で永続的な識別子が割り当てられ、あらゆる行動ログと紐づけられていたという事実だ。ストークス容疑者の逮捕という成果の陰で、16億台のWindows PCすべてが、ユーザーの意志とは無関係に「帳簿」のページを割り当てられ続けている。

Microsoftがこの仕組みを10年以上も公式ドキュメントでほぼ触れず、サポートページすら用意しなかったことは、企業としての透明性の欠如を如実に示している。診断データの設定を変えてもGDID自体は消えない。レジストリを弄っても数分で復元される。TPMというハードウェア的な信頼の根拠を、ユーザーの制御外で動作する識別システムのロックに利用している。これらはすべて、「ユーザーのデバイス」という前提を根底から覆す設計だ。

EUのGDPRやカリフォルニア州のCCPAといった法規制が、この「同意なき永続識別子」をどう裁くのか。すでにEUでは類似の追跡技術に対して制裁金が科される事例が出ている。Microsoftが今後、EU版WindowsでGDIDを無効化する別ビルドを提供せざるを得なくなる可能性は高い。しかし、それが世界標準になるまで、日本を含む多くの地域のユーザーは「帳簿」のページをめくられ続けることになる。

技術的な回避策としてLinuxへの移行や仮想マシンの利用が語られるが、一般ユーザーにとって現実的な選択肢とは言い難い。求められるのは、OSベンダーに対して「識別子の存在を明示し、用途を限定し、削除権を保証せよ」と要求し続けることだ。泥棒を捕まえる帳簿と、無実の市民の行動を記録する帳簿が同一である限り、この問題は解決しない。線を引くのは、ユーザー自身の声でなければならない。

-パソコン