Microsoft впервые публично признала существование Global Device Identifier (GDID) — постоянного идентификатора, который присваивается каждому экземпляру Windows при установке с Microsoft Account. Это произошло не в пресс-релизе, а в федеральной жалобе Министерства юстиции США против предполагаемого участника группировки Scattered Spider. GDID генерируется цепочкой системных служб: wlidsvc запрашивает Device PUID у login.live.com, платформа Connected Devices Platform регистрирует его в Device Directory Service Microsoft, а Delivery Optimization передаёт обратно, когда ПК скачивает или раздаёт обновления. Идентификатор хранится в реестре по пути HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties с префиксом «g» и числом. Он переживает любые обновления Windows, но сбрасывается только при полной переустановке системы. Отключить GDID без поломки активации и работы UWP-приложений нельзя — это заметили даже авторы Massgrave, создатели Microsoft Activation Scripts.
ФБР использовало GDID для отслеживания подозреваемого Питера Стокса. По данным жалобы, идентификатор g:6755467234350028 засветился на странице регистрации ngrok в тот же момент, когда через Tzulo VPN создавалась учётная запись, использованная в атаке. Через три часа этот же GDID заходил на сайт пострадавшего ритейлера. Агенты сопоставили идентификатор с IP-адресами аккаунтов Стокса в Snapchat, Facebook, Apple и Ubisoft по всей Эстонии, Нью-Йорку, Таиланду. VPN-туннели меняли IP, но GDID оставался неизменным — это стало ключевым доказательством на протяжении восьми месяцев.
Исследователи в недоумении. У GDID нет окна согласия, пользователь не может его посмотреть штатными средствами Windows (единственный способ — залезть в реестр по указанному пути), а в документации Azure Monitor этому механизму посвящена одна строчка. Мэттью Хики назвал Windows «слежкой». Котин Райю предложил выяснить, сколько такой же функциональности в других платформах. Единственные советы для тех, кто беспокоится: заводить локальную учётку (хотя в Windows 11 это всё сложнее), выключать дополнительную диагностику, персонализированную рекламу, облачный поиск и активность. Для журналистов и жертв домашнего насилия — переходить на Linux через Tor вместо коммерческого VPN на Windows. Простая переустановка системы не поможет: вход в тот же Microsoft Account снова привяжет новый GDID к старой истории.