Una función de Windows que no se puede desactivar delató a un hacker internacional ante el FBI

El caso del hacker Peter Stokes, vinculado al grupo Scattered Spider, adquirió un detalle técnico inesperado: el sistema de identificación de dispositivos de Windows ayudó a revelar la ubicación del sospechoso.

Según los documentos del tribunal, Microsoft proporcionó al FBI los datos del GDID — Identificador Global de Dispositivo, un código único que se asigna a cada instalación de Windows y que rastrea la telemetría de un dispositivo concreto. Precisamente por este identificador, el cambio de componentes clave en un ordenador a veces provoca la anulación de la licencia del sistema.

Según la investigación, el GDID permitió relacionar el hardware físico de Stokes con su actividad en la red y su ubicación geográfica. En el caso figuran el historial de juegos, las direcciones IP que utilizó, el uso del servicio Ngrok, el estado de la cuenta de Azure y otros parámetros con marcas temporales precisas — todo esto Microsoft lo facilitó a los investigadores.

El caso plantea la cuestión del nivel de detalle de la telemetría de Windows: en esta ocasión los datos se usaron para la detención del presunto delincuente, pero ese mismo conjunto de información en manos ajenas puede revelar la vida privada de cualquier usuario del sistema. La función GDID no puede desactivarse por medios ordinarios, a diferencia de muchos otros parámetros de telemetría que desde hace tiempo reciben críticas de usuarios con conocimientos técnicos.

También se sabe que la verdadera identidad de Stokes se estableció ya en 2024, pero como entonces era menor de edad y residía alternativamente en Estonia y en los Emiratos Árabes Unidos, las autoridades se limitaron a la vigilancia. Durante el arresto en Helsinki le encontraron dos discos duros con pruebas. La primera audiencia judicial en Chicago tras la extradición tuvo lugar el 30 de junio de 2026. En la actualidad el acusado permanece bajo custodia.