Microsoft confirma la existencia de un identificador oculto en Windows

Un documento judicial relacionado con el grupo de ciberdelincuencia Scattered Spider ha sacado a la luz uno de los identificadores menos conocidos de Windows. En el marco de la investigación, Microsoft ha confirmado oficialmente la existencia del denominado Global Device Identifier (GDID), un identificador persistente asociado a determinadas instalaciones de Windows que fue utilizado por el FBI para seguir el rastro de un un presunto integrante del grupo de ciberdelincuencia Scattered Spider a través de distintos países, incluso cuando cambiaba de dirección IP o utilizaba redes privadas virtuales (VPN).

La existencia del GDID no es nueva, pero hasta ahora apenas había trascendido fuera de la documentación técnica interna de Microsoft. La propia compañía lo describe como un identificador utilizado internamente y generado cuando un equipo configura Windows utilizando una cuenta Microsoft. Según la información revelada durante el proceso judicial, ese identificador permanece asociado a la instalación del sistema operativo, sobrevive a las actualizaciones de Windows y participa en distintos servicios de Microsoft relacionados con la activación, Microsoft Store y la distribución de actualizaciones.

Precisamente esa persistencia fue la que permitió a los investigadores relacionar distintas conexiones realizadas desde el mismo equipo a lo largo de varios meses. Según la documentación presentada por la Fiscalía estadounidense, el FBI utilizó el GDID para vincular accesos realizados a través de diferentes VPN y servidores proxy con otras actividades asociadas al sospechoso en servicios como Snapchat, Facebook, Apple o Ubisoft. Aunque las direcciones IP cambiaban constantemente, el identificador permanecía inalterado, convirtiéndose en una pieza clave para reconstruir sus movimientos.

Sin embargo, la mayor polémica no gira tanto alrededor del propio identificador como de la escasa información que existía sobre él. El GDID apenas había sido mencionado por Microsoft en una referencia técnica dentro de la documentación de Azure Monitor, sin explicar con detalle su funcionamiento ni informar claramente a los usuarios de su existencia. Tampoco existe una opción visible para consultar ese identificador desde Windows ni un mecanismo que permita desactivarlo sin afectar al funcionamiento de elementos esenciales del sistema, como la activación de Windows o determinadas aplicaciones de Microsoft Store.

Esta falta de transparencia ha despertado las críticas de diversos investigadores especializados en privacidad y ciberseguridad. Aunque la mayoría de sistemas operativos modernos utilizan identificadores persistentes para tareas relacionadas con licencias, sincronización de dispositivos o servicios de seguridad, varios expertos señalan que plataformas como iOS o Android ofrecen mecanismos mucho más visibles para gestionar algunos de esos identificadores o limitar su utilización. En el caso de Windows, el debate no se centra únicamente en la existencia del GDID, sino en el hecho de que millones de usuarios hayan convivido con él durante años sin conocer realmente su alcance.

Para quienes deseen reducir parte de la información que Windows comparte con Microsoft existen algunas medidas, como utilizar una cuenta local en lugar de una cuenta Microsoft cuando sea posible, limitar el envío de datos de diagnóstico y revisar las opciones de privacidad del sistema. Sin embargo, el propio diseño del GDID hace que no pueda eliminarse sin afectar a funciones básicas del sistema operativo, por lo que las posibilidades de actuación son limitadas.

Más allá del caso concreto, esta historia deja una reflexión importante. Resulta difícil entender que un identificador con estas características permaneciera prácticamente oculto para la inmensa mayoría de los usuarios y que la explicación más completa sobre su funcionamiento haya llegado a través de un procedimiento judicial, en lugar de mediante una documentación pública y accesible elaborada por la propia Microsoft. Quizá el verdadero debate no sea si Windows debe utilizar identificadores de este tipo —algo relativamente habitual en la industria—, sino hasta qué punto las compañías deberían ser mucho más transparentes cuando incorporan mecanismos capaces de identificar de forma persistente los dispositivos de sus usuarios.

Más información