El arresto de un joven hacker dejó al descubierto que Microsoft registra y puede rastrear la actividad online de cualquier PC con Windows a través de un identificador único llamado Global Device ID (GDID), una especie de número de serie permanente asignado a cada instalación del sistema operativo. El dato surgió de una causa judicial en Estados Unidos y encendió alarmas sobre las capacidades de vigilancia del sistema más usado en el mundo.

El caso que destapó todo

Según informó PCMag, el Departamento de Justicia de Estados Unidos anunció la semana pasada la extradición de Peter Stokes, de 19 años, detenido en Finlandia por ser presunto integrante del grupo de hackers Scattered Spider. Stokes habría hackeado una joyería de lujo sin identificar en mayo de 2025, usando una VPN (una herramienta que oculta la dirección IP real del usuario) para intentar no ser rastreado. Sin embargo, el FBI accedió a registros de Microsoft que vincularon su dirección IP con su GDID, lo que permitió identificarlo.

La denuncia penal de 39 páginas, a la que accedió PCMag, detalla que los registros de Microsoft mostraron que el GDID asociado a la computadora de Stokes —identificado con el número 6755467234350028— accedió el 12 de mayo de 2025, a las 19:21 UTC, a páginas de ngrok, una herramienta de desarrollo web que el acusado usaba para saltear las defensas de red de la joyería. También aparecieron accesos a servidores de Tzulo, un proveedor de alojamiento web, relacionados con el ataque.

Qué es el GDID y por qué importa

De acuerdo con la propia denuncia judicial, un representante de Microsoft describió el GDID como "un identificador persistente a nivel de dispositivo, diseñado para identificar de forma única una instalación del sistema operativo Windows, ya sea en un dispositivo físico o en una máquina virtual, a través de ciertos servicios y escenarios de Microsoft". Es decir, es como una huella digital del equipo que Microsoft mantiene aunque el usuario cambie de cuenta o use una VPN.

Lo que más preocupa a los expertos no es que exista ese identificador —asignar un código único a cada dispositivo es práctica común en la industria— sino que, según surge del expediente, Microsoft puede asociar ese GDID con servicios de terceros y registrar el momento exacto en que el dispositivo los accedió. En otras palabras, Microsoft tendría capacidad para registrar parte de la actividad online de una PC con Windows sin necesidad de las famosas cookies de rastreo que usan los navegadores.

¿Se puede desactivar?

Según la causa judicial, el GDID se mantiene incluso después de actualizaciones de Windows. Solo se genera uno nuevo si el usuario reinstala el sistema operativo desde cero, ya sea en el mismo equipo o en uno diferente. El documento judicial aclara en una nota al pie que "un mismo usuario de Microsoft podría tener múltiples GDID". Aunque técnicamente sería posible que Microsoft vincule el GDID viejo con el nuevo usando otros datos como el login de cuenta o la dirección IP, la empresa no se pronunció públicamente sobre el tema. El identificador aparece mencionado brevemente en una página de soporte técnico de Microsoft, pero sin mayor explicación.

Ante la revelación, algunos usuarios ya empezaron a explorar formas de identificar y eliminar su propio GDID, según reportó PCMag.

La pregunta que se extiende a otras empresas

El experto en ciberseguridad Matthew Hickey fue tajante en redes sociales: "Microsoft Windows es software de vigilancia". Por su parte, el investigador Costin Raiu planteó en el podcast Three Buddy Problem una pregunta que incomoda aún más: ¿Apple hace lo mismo? "¿Es a la misma escala? ¿Está pasando a un nivel aún mayor, atado al hardware, de forma que aunque reinstales no importa?", señaló Raiu, y agregó que "muy probablemente esto no sea exclusivo de Microsoft" y que quien quiera anonimato real debería considerar usar Linux o FreeBSD con proxies, Tor y VPNs.

Microsoft no realizó comentarios públicos sobre el GDID ni sobre su alcance de rastreo más allá de lo que consta en la denuncia judicial.