GDID: A Etiqueta Invisível do Windows Que Nenhuma VPN Apaga

Global Device Identifier: a Etiqueta que o Windows Nunca Mostrou

O GDID (Global Device Identifier) é um código persistente, gerado e custodiado pela própria Microsoft, cuja função é identificar de forma inequívoca uma instalação do sistema operacional Windows -- seja em um notebook físico, um smartphone com Windows ou até uma máquina virtual. Diferente de um cookie de navegador ou de um número de série comercial, esse marcador não pertence ao domínio do usuário: ele nasce nos servidores da Microsoft e é sincronizado silenciosamente com o dispositivo.

A existência do GDID não é propriamente nova -- o mecanismo acompanha o Windows desde o lançamento do Windows 10, em 2015, permanecendo plenamente ativo no Windows 11. O que mudou em 2026 foi a exposição pública: o identificador só se tornou de conhecimento geral depois de aparecer, com nome e funcionamento detalhados, em uma denúncia criminal federal apresentada por promotores dos Estados Unidos contra um suposto integrante do grupo de cibercrime Scattered Spider.

Sem Botão de Desligar e Imune a Truques Comuns de Anonimato

O detalhe mais alarmante do GDID não é a sua existência, mas a sua indisponibilidade de opt-out. Não há configuração no Painel de Controle, nas Configurações de Privacidade ou em qualquer editor de registro que remova o identificador de forma definitiva. Trocar para uma conta local, ativar uma VPN comercial ou rotear o tráfego pela rede Tor não interrompe a sincronização: o GDID continua sendo gerado e reportado à Microsoft em segundo plano, porque ele não depende da sua conexão de rede -- ele depende do próprio sistema operacional instalado.

Isso o torna estruturalmente diferente de um endereço IP ou de um cookie: enquanto esses últimos mudam a cada nova sessão, proxy ou navegador, o GDID atravessa trocas de rede, trocas de localização geográfica e até trocas de identidade online sem perder a continuidade.

Da Invasão de uma Joalheria ao Aeroporto de Helsinque

Entre os dias 12 e 15 de maio de 2025, criminosos ligados ao grupo Scattered Spider -- também conhecido nos relatórios de inteligência como Octo Tempest ou UNC3944 -- telefonaram para o help desk de uma joalheria de luxo americana. Fazendo-se passar por funcionários bloqueados, convenceram a equipe de suporte a redefinir senhas e reconfigurar a autenticação multifator de contas internas usando números do Google Voice. Em poucas horas, os invasores controlavam três contas corporativas, duas delas de administradores de TI.

A partir daí, instalaram as ferramentas de túnel seguro Ngrok e Teleport, moveram os dados para armazenamento em nuvem e exfiltraram ao menos 77 GB de informações, seguidos de uma exigência de resgate próxima a US$ 8 milhões em criptomoedas.

A Trilha Digital que o GDID Deixou

Para reconstruir a identidade por trás do ataque, o FBI solicitou à Microsoft os registros de telemetria vinculados ao dispositivo utilizado. A empresa entregou o GDID associado à máquina -- identificado nos autos como g:6755467234350028 -- e os registros mostraram algo notável: o mesmo identificador acessou a página de cadastro do Ngrok exatamente no minuto em que a conta usada no ataque foi criada, através de um proxy VPN comercial. Cerca de três horas depois, o mesmo GDID acessou o site da vítima através do mesmo proxy.

A partir desse ponto, investigadores cruzaram o histórico de endereços IP associados ao GDID com os logins de contas pessoais atribuídas ao suspeito -- incluindo Snapchat, Apple, Facebook e o jogo Ubisoft/Growtopia. O mesmo dispositivo apareceu conectado, nos mesmos horários, a endereços IP em Tallinn (Estônia), Nova York e na Tailândia, coincidindo com viagens e postagens públicas do próprio suspeito nas redes sociais.

Segundo o Departamento de Justiça americano, o Scattered Spider -- grupo também referenciado como Oktapus -- já teria extorquido mais de US$ 100 milhões em pagamentos de resgate em mais de 100 invasões corporativas desde 2022. O caso Stokes é o primeiro em que o mecanismo GDID aparece detalhadamente documentado em um processo público, estabelecendo um precedente de uso forense da telemetria do Windows em investigações criminais.