Windowsに埋め込まれている監視機能「GDID」

TL;DR
GDIDとその仕組み
1. 無効化することがほぼ不可能
2. GDIDの発信を防ぐ方法
FBIがハッカーの逮捕にGDIDを”活用”
匿名性を求めるならばOSS

TL;DR

・Windows には無効化できないデバイスレベルの追跡IDが存在する
・ネットに接続すると即Microsoftアカウントと紐づけされる
・VPNを噛ませても追跡される
・FBIがこのIDを使ってハッカーを逮捕
・ユーザーの同意なしでも監視可能
・完全な無効化は不可能

GDIDとその仕組み

GDID（Global Device Identifier）とは永続的で固有のデジタル指紋（識別番号）です。マイクロソフト内部では PUID（Passport Unique Identifier）とも呼ばれており、Windows Vista 以降のすべてのコンシューマー向け Windows OS に存在を知られることなく埋め込まれてきました。

このIDは、インストールされたデバイスが初めてインターネットに接続された際、 Windows のシステムサービスである「wlidsvc.dll」が Microsoft サーバーにアクセスすることで発行されます。

サーバー側は、PCのTPM公開鍵、MACアドレス、ディスクのシリアル番号、BIOSのUUIDなどのハードウェア固有の情報（ハードウェア記述子）を組み合わせて個体を特定し、固有の番号を割り当てます。

GDID は、Windowsレジストリの特定の場所（HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties）に「LID」という名前で、暗号化されていない平文の状態で保存されます。レジストリ内では16進数で記録されていますが、Microsoft の内部記録や裁判資料では、先頭に「g:」を付けた10進数の形式（例：g:6755467234350028）で扱われています。

以下のコマンドを PowerShell で入力すると、デバイスの ID を取得することができます。

$lid=(Get-ItemProperty 'HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties').LID "g:$([Convert]::ToUInt64($lid,16))"

Microsoft は、このIDをテレメトリ（診断データ）、Edgeの閲覧履歴、Microsoft Storeの購入、Windowsのライセンス認証など、OSの根幹に関わるあらゆるサービスに紐付けて管理しています。

無効化することがほぼ不可能

GDID の最大の問題点は、「オフ」スイッチが存在せず、割り当て時に同意を求める画面も表示されないことです。GDIDの生成や送信をブロックしようとすると、Windows のライセンス認証、Microsoft Store の利用、プッシュ通知、一部の標準アプリ（UWPアプリ）が正常に動作しなくなるといった実害が生じます。OS をクリーンインストールすればローカルのID番号は新しくなりますが、Microsoft のサーバー側ではハードウェア情報に基づいて以前の行動履歴と紐付けられる可能性が極めて高いと指摘されています

Windows 自体がバックグラウンドで GDID を送信し続けるため、VPNを使ったり、異なるネットワークからIPアドレスを割り当てられても国をまたいで移動しても「同じデバイスであること」を追跡できてしまいます。

またお察しのとおり、レジストリをいじっただけでは追跡を逃れることはできません。なぜならサーバー側にすでにデバイスのデータが保存されているからです。

Windows のレジストリ（HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties）に保存されている16進数の値「LID」は、 Microsoft サーバーから割り当てられた識別子のローカルコピー（キャッシュ）に過ぎません。システムサービス（wlidsvc.dll）が Microsoft のネットワークと通信した瞬間にサーバー側のデータやデバイス証明書との不一致が検知され、数分以内に元の正しい値に自己修復されることが確認されています

GDIDの発信を防ぐ方法

GDID の生成自体を防ぐことは至難の技です。ネットを切った状態で Windows をインストールし、ローカルアカウントで製造しなければいけません。その後、関連サービスを無効化したり、通信を遮断しなければなりません。なので現実的なアプローチとしては、 Microsoft 関連サーバーへの通信を遮断することになります。

いずれにしろ GDID の追跡から逃れるには Microsoft 関連のサービスの利用を諦めるしかありません。

mtd1. 関連サービスの無効化

レジストリ値を書き換えるのではなく、GDID をサーバーに報告する役割を持つサービス（wlidsvc、CDPSvc、DoSvcなど）を無効化することで、通信自体を阻害するアプローチがあります。ただし、これをやると Microsoft Store やWindows のライセンス認証、プッシュ通知などが動作しなくなります。

mtd2. Microsoft サーバーへの通信を遮断

2番目の方法としては、サードパーティ製の DNSリゾルバ、 AdGuard や Pi-Hole などで Microsoft 関連サーバーへの通信を完全に遮断することです。ワイルドカードでの判定を行えるのでサブドメインまでブロックが容易という利点があります。 C:\Windows\System32\drivers\etc\hosts にブロックしたいサーバを記載しても良いですが、サブドメインまで一つ一つ追加しなければいけないのがかなり手間です。

FBIがハッカーの逮捕にGDIDを”活用”

GDID が大きな注目を集めることになったきっかけは、ハッカー集団「Scattered Spider」のメンバーとされるピーター・ストークス（当時19歳、アメリカ・エストニア二重国籍）が FBI により逮捕され、米連邦検察の起訴状（訴状）が公開されたことです。

高級宝飾店へのサイバー攻撃

ことの発端は、2025年5月、アメリカの高級宝飾小売店「Company F」への不正侵入でした。スストークスらは、ITヘルプデスクに電話をかけて従業員を装い、管理権限を持つアカウントを含む3つのパスワードをリセットさせるというソーシャルエンジニアリング手法を用いました。

彼らはネットワークに侵入後、トンネリングツールの「ngrok」などを利用して約77GBのデータを盗み出し、800万ドルの身代金を要求しましたが、小売店側はこれを拒否し、連邦政府に助けを求めました。

VPNを無効化した「デジタル指紋」GDID

ストークスは自身の身元を隠すため、VPN プロキシ（Tzulo）を使用してIPアドレスを偽装していました。

しかし、FBI が「ngrok」のデータを差し押さえたところ、犯行に使われたアカウントが作成されたまさにその瞬間に、特定の GDID「g:6755467234350028」を持つ Windows デバイスが ngrok のサインアップページにアクセスしていたことが Microsoft の記録から判明しました。

前述しましたが、GDID はデバイス固有の永続的な識別子であり、VPN を使用してIPアドレスを変更しても変わることはありません。これにより、FBI は VPN の壁を越えて、攻撃に使用されたコンピュータを特定することに成功しました。

8ヶ月に及ぶ世界規模の追跡

FBI はこの GDID を追跡用ビーコンとして利用し、約8ヶ月間にわたってストークスの足跡を世界中で追い続けました。

2024年 6月
エストニア（タリン）

同GDIDを持つデバイスがストークスの居住地であるタリンのIPアドレスからアクセスし、同時に彼のSnapchatやFacebookアカウントへのログインも確認
2024年11月
アメリカ（ニューヨーク）

デバイスはニューヨークのIPアドレスに出現。ストークスがSnapchatに投稿した「100ドル札の束で顔を隠した自撮り写真」の背景（壁紙やカーペット）が、そのIPアドレスから予約されたホテルの内装と一致
2025年 2月
タイ（バンコク）

デバイスはタイのIPアドレスからアクセスし、前日にストークスが投稿した「ウォルドーフ・アストリア・バンコク」での写真と場所が一致

このように、GDIDが示すデバイスの動きと、彼自身のSNS投稿やゲーム（Growtopia）へのログイン履歴を照合することで、FBIは確固たる証拠を積み上げました

ヘルシンキ空港での逮捕

2026年4月、ストークスがフィンランドのヘルシンキ空港を歩いていたところ、インターポールの国際手配（赤色手配書）に基づき、フィンランド警察によって身柄を拘束されました。

逮捕当時、彼は日本行きの航空券と、2TBのハードディスク2台を所持していました。その後、彼はフィンランドからアメリカへ身代され、1億ドル以上の身代金に関わる100件以上の企業侵入、詐欺、サイバー侵入の罪で起訴されました。

ストークスは VPN を使いことを徹底しており、フォーラムでうっかり私用メールアドレスを漏らしてしまった「pompompurin」とは違います。 Windows OS を使っている限り逮捕は免れませんでした。

この逮捕劇は、 Microsoft がユーザーのプライバシー保護、データの匿名化について何も対策を行っておらず、むしろ積極的に収集してたことが明らかになりました。また法執行機関に求められれば簡単にデーターを渡してまう企業だという疑心が広まりました。

匿名性を求めるならばOSS

このGDID の存在は Microsoft がユーザーを特定できる情報を管理しており、常に監視しているのではないか、という兼ねてよりの疑惑を真実にしました。 Windows は匿名性とは真逆の性質を持つ OS だということが広まりつつあります。

根本的な解決策は Linux や FreeBSD などのオープンソースOS を利用することです。

OpenSSH にバックドアが仕掛けられた事件もありましたし、オープンソースソフトウェアだから完全に安全だということはありません。しかし、何かしら不審なコードが見つかれば、コミュニティによって即追及・修正されます。

一方、Microsoft はライセンスの管理とユーザーの行動データ収集という明確な目的をもって、この監視機能を Windows に埋め込みました。今後ユーザーに配慮してGDIDを除去する、なんてことはまずないでしょう。 Microsoft サーバーと通信をしなければライセンス認証や Microsoft ストアなどの関連サービスを受けることができず、 Windows を使っている意義がかなり薄れてしまいます。

Linux は近年ユーザーの増加が目覚ましく、デスクトップOSのシェアは10％を超えたという統計データもあります。ですが、 Linux はクラッカーご用達 OS という偏った認識も各国の立法機関で広まりつつあり、 Linux を利用するには届け出を求める国地方も出始めました。こういった動きを阻止するためにユーザーも抗議していく必要あるでしょう。