Peu de gens connaissent probablement le mécanisme GDID, pourtant il est essentiel pour déterminer la quantité d'informations que Microsoft possède sur ses utilisateurs. Un membre du groupe Scattered Spider a expliqué le fonctionnement de cette solution, notamment un identifiant peu connu utilisé par Microsoft. L'importance de cet outil est démontrée par le fait qu'il a permis de relier l'activité d'un seul ordinateur à de multiples comptes et emplacements en ligne. Et ce, malgré l'utilisation de VPN et de serveurs proxy, censés masquer l'activité de l'appareil. Comme vous pouvez le constater, dans ce cas précis, ils se sont avérés insuffisants. La présence du mécanisme GDID dans Windows a permis cette interférence. Le système judiciaire américain a ciblé Peter Stokes, un jeune homme de 19 ans arrêté en Finlande en vertu d'une notice rouge d'Interpol. Il était accusé d'avoir participé à une cyberattaque contre une chaîne de joaillerie de luxe aux États-Unis, au cours de laquelle des cybercriminels auraient dérobé des données et exigé une rançon de 8 millions de dollars. L'identifiant global de domaine (GDID) attribué à l'installation Windows a joué un rôle déterminant dans le déroulement des événements.

Microsoft décrit le GDID comme un identifiant matériel persistant utilisé par certains services de l'entreprise pour reconnaître une installation Windows spécifique sur les ordinateurs et les machines virtuelles. Cet identifiant est créé lors de votre connexion à votre compte Microsoft et reste associé à une version système donnée jusqu'à sa réinstallation. Il est important de noter que chaque nouvelle installation reçoit un numéro différent. Des chercheurs indépendants analysant le fonctionnement de Windows indiquent que cet identifiant est utilisé, entre autres, par des mécanismes responsables de la synchronisation des appareils, des services cloud et des fonctions liées à la distribution des mises à jour. Selon les enquêteurs, ce sont les données de télémétrie qui leur ont permis de relier l'activité du même ordinateur à des connexions à divers services Internet effectuées en Estonie, aux États-Unis et en Thaïlande, même si différentes adresses IP et différents services VPN ont été utilisés. Cela prouve simplement que Windows collecte bien plus d'informations permettant d'identifier les appareils que beaucoup ne le pensent. Et ce, malgré les assurances du géant de Redmond quant à la sécurité des données et au respect de la vie privée des utilisateurs.

En pratique, la plupart des utilisateurs de Windows ne remarqueront pas le fonctionnement du GDID lors de leur utilisation quotidienne de l'ordinateur. Cependant, ce mécanisme peut s'avérer important pour la gestion des licences logicielles et les analyses de sécurité menées par les fabricants et les forces de l'ordre. L'affaire a rapidement suscité un débat sur la protection de la vie privée. Certains experts soulignent que Microsoft a été très discret dans sa documentation publique concernant l'existence du GDID, ce qui explique pourquoi de nombreux utilisateurs n'en ont pris connaissance qu'après la publication des documents judiciaires. D’autres, cependant, soulignent qu’Apple et Google utilisent également des identifiants similaires, même s’ils diffèrent dans leur fonctionnement et dans le niveau de contrôle accordé à l’utilisateur. Cette affaire démontre que les données de télémétrie du système d'exploitation peuvent jouer un rôle important dans les enquêtes sur la cybercriminalité, tout en soulevant des questions sur la transparence des services qui collectent des informations sur les appareils. Comparée aux identifiants utilisés par Android et iOS, la solution de Microsoft est moins familière aux utilisateurs lambda, bien qu'elle remplisse une fonction similaire d'identification de l'appareil dans l'écosystème du fabricant.