【戦慄】VPNも偽名も意味なかった…FBI、Windowsに埋め込まれた16桁の番号でハッカーを完全特定
偽の名前を使い、VPNで経路を隠し、プロキシを挟んで足跡を消す。完全な匿名を手にしたはずのハッカーが、それでも眼前に迫る手から逃れられなかった。犯人を追い詰めたのは、あなたのパソコンにも確実に存在する16桁の識別番号だった。Microsoftが長年口を閉ざしてきた永続追跡の全貌が、今明らかになる。
番号が暴いた犯人 ヘルシンキ空港の劇的な拘束
2026年4月、フィンランド・ヘルシンキ空港。日本行きの便に搭乗しようとしていた19歳のピーター・ストークス容疑者が、インターポールの赤手配書に基づき空港で拘束された。所持品は2テラバイトのハードドライブ2台。6月末にフィンランドの連邦裁判所へ引き渡され、起訴状が開封された。
容疑は世界的なサイバー犯罪グループ「スキャッタスパイダー」への関与。大規模なネットワーク侵害と1億ドルを超える身代金支払いに加わった人物とされている。具体的な事件は2025年5月、米国の高級食品業者に対する攻撃だ。攻撃者はヘルプデスクに電話をかけ、従業員になりすまし、パスワードと多要素認証のリセットを要求。わずか2時間から3時間で管理者アカウント2つを奪取した。
技術的な脆弱性を突いたわけではなかった。いわゆるソーシャルエンジニアリング、人を騙す手口で管理者権限に到達したのだ。そこから少なくとも77ギガバイトのデータを抜き取り、約800万ドルの身代金を要求。「企業側はセキュリティチームが攻撃者を排除し、身代金は支払っていないが、業務停止・復旧には少なくとも200万ドルの損害が出た」と報告されている。
VPNを使い、プロキシを挟み、複数の偽名を使い分けていた。匿名で活動していたはずの人物を、FBIはどうやって特定したのか。起訴状によると、FBIが着目したのは「GDID」だった。GGlobal Device Identifier、グローバルデバイス識別子。Microsoftの公式定義は「デバイス上のWindowsのインストールを一意に識別するために設計された、永続的なデバイスレベルの識別子」である。
VPNの先へ 数字が結んだ証拠の鎖
経過はこうだった。2025年5月12日、VPNとプロキシを経由して攻撃用の「エンドロック」アカウントが作成された。エンドロックはローカルサーバーをインターネットに公開するためのトンネルサービスで、本来は開発者が使うツールだ。ところが攻撃者はこれを、被害者ネットワークへの持続的なアクセス経路として悪用した。
Microsoftの記録は、そのアカウント作成と同じ時刻に、ある特定のGDIDを持つデバイスがエンドロックの登録ページにアクセスしていたことを示していた。そしておよそ3時間後、同じGDIDのデバイスが同じVPN経由で被害者のウェブサイトにアクセスしていた。GDIDから紐づくのは時刻と接続先の履歴だけにとどまらない。FBIはこのGDIDに紐づくIPアドレスの履歴を、ストークス容疑者のSnapchat、Apple、Facebook各アカウントのIPアドレスと照合した。
エストニアのタリンやニューヨークなど、数カ月にわたって複数の国で使われたIPが、GDIDとSNSアカウントの両方で一致した。国務省の渡航記録やSNSに投稿されたホテルの写真が、その一致を裏付けた。ホテルの壁と家具がSnapchatの写真と一致するという具合にだ。VPNは通信経路を隠し、IPアドレスは接続ごとに変わる。だがGDIDは変わらない。VPNの先にいるデバイスが同じWindowsのインストールである限り、同じ番号がMicrosoftのサーバーに記録され続ける。FBIが証拠として持ち出したのは、この性質だった。
GDIDの仕組み サーバーが管理する「捨てても返ってくる」番号
あなたのPCにも、この番号は既に存在する。Windowsをインストールしてインターネットに接続すると「Microsoft デバイス情報アシスタント」がlogin.microsoft.com にリクエストを送る。そのリクエストにはハードウェア情報、マザーボードのメーカーやシリアル番号、SMBIOS UID、ディスクのシリアル番号、Macアドレス、TPMの公開鍵が含まれる。Microsoftのサーバーがこれらを受け取り、64ビットの番号を生成して返す。これがGDIDだ。
Microsoft内部では「PUID (Passport Unique ID)」と呼ばれる、パスポート時代からの名称が残っている。ここで重要なのは、GDIDがデバイス側で計算されるのではなく、Microsoftのサーバーが割り当てること。つまり本体はサーバー側にあり、レジストリに書かれている値はその映しに過ぎない。その映しの保存場所がまた興味深い。レジストリの「HKCU\\Software\\Microsoft\\IdentityCRL\\UserExtendedProperties」、値の名前は「LID」。16桁の16進数がプレーンテキストとして保存される。暗号化されていないうえ、管理者権限も不要で、そのユーザーで動くプロセスなら誰でも読めるのだ。
独立した研究者がリバースエンジニアリングで明らかにしたところ、GDIDが使われる範囲は広い。Microsoftストアの購入と認証、Windowsのデジタルライセンス認証に紐づき、フォンリンクやクリップボードの同期を担う「カレントデバイスプラットフォーム」はGDIDを端末識別に使い、プッシュ通知サービスのチャネルURIにも含まれる。「Delivery Optimization」はGDIDをグローバルデバイスIDとしてMicrosoftへ送る。テレメトリでは、Microsoft.Windows で始まるETWイベントの「device.uid」フィールドがGDIDそのものだ。診断データを有効にしていると、クラッシュレポートやハートビートの全てにこの番号が付与される。Edgeの拡張診断を有効にしていたなら、閲覧履歴もGDとともにMicrosoftに送信される。ストークス容者の事件で証拠として機能したのは、この閲覧履歴とGDIDの紐付けだった。
捨てても捨てても帰ってくる 消そうとする4つの実験
この番号を消そうとすると何が起きるのか。逆エンジニアによる4段階の実験結果は、まさに悪夢だ。まずレジストリの値を別の番号で上書きする。すると数分で元に戻る。「WIDSVC」がネットワーク通信を行った時点でコンデンサ証明書に埋め込まれた本来のPUIDとレジストリの値の食い違いを検出し、サーバー側の番号で上書きする。
次にデバイス証明書ごと別のマシンからコピーする。ローカルでは通行料になるが、WIDSVCがMicrosoftに認証を行うと、証明書が主張するハードウェア情報と実際に送信されるハードウェア情報が一致しない。するとMicrosoftのサーバーが新しいPUIDを強制発行し、上書きは無意味になる。
3段階目は仮想マシン上でハードウェア情報まで偽装する手法だ。SMBIOS IDのシリアル、MacアドレスはVMWareやQEMUの設定で書き換えられる。ここまでやると残る壁はTPMだ。物理マシンのTPMに格納されたエンドメント鍵の秘密鍵は、チップの外に取り出せない。Microsoftのサーバーが公開鍵でデータを暗号化し、デバイスに複合を求める検証を行えば、仮想マシンのTPMは応答できない。
最後に「Identity CRL」のレジストリキーを丸ごと削除して再登録させる。すると新しいPUIDが発行されるが、ハードウェア情報は変わっていないため、Microsoftのサーバー側では同じ端末として紐付けられる。番号が変わっても追跡は途切れない。唯一の逃げ道は、マザーボード、ディスク、ネットワークアダプターを全て交換して物理的に別のマシンにすることか、仮想マシンでWindowsを使うことだけという結論に至る。
Microsoftが10年以上隠してきた「帳簿」
興味深いのは、Microsoftがこの仕組みをどれだけ説明してきたかだ。GDIDに関する公式ドキュメントは、Microsoft の「デバイスモニターのリファレンス」の中の1カラムだけ。「グローバルデバイスID」の説明として「Microsoft がグローバルデバイス識別子として内部で使用する識別子」と記されるだけだった。専用のサポートページは存在せず、その仕組みの詳細が広く語られたのは、ストッシュ事件の起訴状が開封されたときが初めてだった。
Windowsには診断データのレベルを下げる設定があり、アクティビティ履歴を無効にする設定もある。しかしこれらはGDIDそのものを消す手段ではない。紐づく追加情報の量を減らすことはできても、識別子そのものはMicrosoftのサーバーに残り続ける。他のOSにもデバイス識別子は存在する。だが多くの場合、ユーザーに説明があったり同意を求めるプロンプトが表示されたりする。GDIDにはそのどちらもなかった。
「ある街に帳簿をつける者がいた。住人が朝の道を歩き、昼にどの店に入り、夜どこへ帰るか。全てが精神的に記録された。帳簿の存在を住民は知らなかった。知らせる義務も誰も感じていなかった。」泥棒が捕まった翌朝も、記録は途切れることなく続いた。泥棒の行とパン屋の行は隣合い、10人に1人が「帳簿を見せて欲しい」と乞うても、帳簿を付ける者は言う。「これは内部で使うものだ」。そうして住民は自分もまた、名前ではなく永続番号で管理されていることを知る。この寓話こそ、今回の権利が突きつける最も神経質になる問いだ。
ネットの反応
犯罪の大きさにしては知識が追い付いて無いような気がする、年齢的にも闇バイトの使い捨て要因だと思う。黒幕は捕まら無い気がする…
Linuxの /sys/class/dmi/id/product_uuid もハードウェア構成からローカルで生成されるだけで、外部のサーバーと同期されるものではない。Windowsはネットにつなぐ瞬間常に追跡されていると分かっておくべきだ。
プライバシーの侵害。ガチのゴミ機能。
MicrosoftのWindows搭載端末の識別能力が完璧で逆に怖い。ｗ
この仕組みを使うのがならず者を捕まえたい善意の人だけならいいが、現実は予告なしに選挙を禁じたり言論を封殺したりする悪意の人で満ちている。彼らにとって好都合な仕組みになるだけ。
すなわちパソコンは新品で、格式のある店から直販で買えという結論である。
個人情報を地域外に流出させているなら、EUさんがマイクロソフトにがっちり制裁金をかけるのかな。
他と組み合わせない限り、番号単体では個人を特定できるわけではないから問題ないという感じだが、やがてEUで問題視されて別バージョンができる気がする。
中古で買ったゲーム機が、前の持ち主のせいで改造チップ載せや変なプログラムで元に戻らない、メーカーがサービス拒否することもある。PCだけの話ではないな。
だからプーチンはWindowsを使わないのか…。
捨てても捨てても帰ってくる呪いの人形。ただし捨てるのは犯罪者だけ。
ずっと維持されるんだな。中古で買ったPCの前の持ち主が犯罪をしていたら…。
バカなのか、ハッカーなのにWindowsを使う人なんていないだろう。Tails を使えよ。
やっぱりそろそろLinuxに移行したほうがいいのかな。
Im not a number. I’m a free man.
AIの所感
この事件が本質的に示すのは、Windowsの「匿名性」が設計当初から想定された薄いものではない、という事実だ。マイクロソフトは自社OSの根幹に、外部のサーバーが一方的に割り当てる永久識別子を、同意を求めず説明もせず埋め込み、10年以上にわたって運用してきた。今回の考古見つけたのは事件そのものよりも、この「帳簿」の存在が確立され、国が手にした「裁判所の裏付け」を持つ追跡能力である。
技術的には、VPNや偽名が一切無名に入ってきたのではなく、識別子の連続性がソーシャルエンジニアリングと組み合わせられて特定に進めるという構造が重要だ。つまり単一のID自体が「危険な」値ではない。それが複数のデータと照合され、数カ月にわたって変わらないことが、匿名作用を無効にする。安全と監視の距離は、技術の発展とともに緩やかに近づいてきた。破ればよいという単純な問題ではなく、いつ誰が線を引くのか、という表現の決定である。