Windowsに埋め込まれている追跡ID「GDID」とは？FBIがハッカー逮捕に活用

TL;DR：要約
GDIDとその仕組み
FBIがハッカーの逮捕にGDIDを”活用”
匿名性を求めるならばOSS

TL;DR：要約

・Windows にはインストール時に発行されるデバイスレベルの追跡IDが存在する
・ネットに接続すると即Microsoftアカウントと紐づけされる
・VPNを噛ませても追跡される
・FBIがこのIDを使ってハッカーを逮捕
・ユーザーの同意なしで監視
・GDIDは削除は不可能

GDIDとその仕組み

GDID（Global Device Identifier）とは、 Windows がインストールされたデバイスに与えられるライセンス管理とデータ収集を目的とした識別子です。マイクロソフト内部では PUID（Passport Unique Identifier）とも呼ばれており、Windows Vista 以降のすべてのコンシューマー向け Windows PC に埋め込まれてきました。

このIDは、インストールされたデバイスが初めてインターネットに接続された際、 Windows のシステムサービスである「wlidsvc (Windows Live ID Service)」が Microsoft サーバーにアクセスすることで発行されます。

サーバー側は、PCのTPM公開鍵、MACアドレス、ディスクのシリアル番号、BIOSのUUIDなどのハードウェア固有の情報（ハードウェア記述子）を組み合わせて個体を特定し、固有の番号を割り当てます。

GDID は、Windowsレジストリの特定の場所（HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties）に「LID」という名前で、暗号化されていない平文の状態で保存されます。レジストリ内では16進数で記録されていますが、Microsoft の内部記録や裁判資料では、先頭に「g:」を付けた10進数の形式（例：g:6755467234350028）で扱われています。

以下のコマンドを PowerShell で入力すると、デバイスの ID を取得することができます。

$lid=(Get-ItemProperty 'HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties').LID "g:$([Convert]::ToUInt64($lid,16))"

Microsoft は、このIDをテレメトリ（診断データ）、Edgeの閲覧履歴、Microsoft Storeの購入、Windowsのライセンス認証など、OSの根幹に関わるあらゆるサービスに紐付けて管理しています。

公式ドキュメントの記述がほとんどない

Microsoft が公開している Windows の公式ドキュメントやオンラインヘルプの中で、GDID に関する記述は実質的にたったの一文しか存在しません。

それも、一般の Windows ユーザーが目にすることがない、エンタープライズIT管理者向けに用意された「Azure Monitor」という極めて技術的なリファレンスドキュメント（配信最適化レポートに関するテーブル「ucdostatus」）の中です。

Microsoft Ignite : Azure Monitor Logs reference – UCDOStatus

そこには、単に「Microsoft global device identifier. This is an identifier used by Microsoft internally.（Microsoftのグローバルデバイス識別子。これはMicrosoftが内部で使用する識別子です）」とだけ、非常に短く記載されているに過ぎません。

無効化することがほぼ不可能

GDID の最大の問題点は、「オフ」スイッチが存在せず、割り当て時に同意を求める画面も表示されないことです。GDIDの生成や送信をブロックしようとすると、Windows のライセンス認証、Microsoft Store の利用、プッシュ通知、一部の標準アプリ（UWPアプリ）が正常に動作しなくなるといった実害が生じます。OS をクリーンインストールすればローカルのID番号は新しくなりますが、Microsoft のサーバー側ではハードウェア情報に基づいて以前の行動履歴と紐付けられる可能性が極めて高いといわれています。

Windows 自体がバックグラウンドで GDID を送信し続けるため、VPNを使ったり、異なるネットワークからIPアドレスを割り当てられても、国をまたいで移動しても「同じデバイスであること」を追跡できてしまいます。

またここまで読んでいただければお察しのことと思いますが、レジストリをいじっただけでは追跡を逃れることはできません。なぜならサーバー側にすでにデバイスのデータが保存されているからです。

Windows のレジストリ（HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties）に保存されている16進数の値「LID」は、 Microsoft サーバーから割り当てられた識別子のローカルコピー（キャッシュ）に過ぎません。システムサービス（wlidsvc）が Microsoft のネットワークと通信した瞬間にサーバー側のデータやデバイス証明書との不一致が検知され、数分以内に元の正しい値に自己修復されることが確認されています

GDIDの発信を防ぐ方法

GDID の生成自体を防ぐことは至難の技です。ネットを切った状態で Windows をインストールし、ローカルアカウントを作成しなければいけません。なので現実的なアプローチとしては、 Microsoft 関連サーバーへの通信を遮断することになります。

いずれにしろ GDID の追跡から逃れるには Microsoft 関連のサービスの利用を諦めるしかありません。

mtd1. 関連サービスの無効化

レジストリ値を書き換えるのではなく、GDID をサーバーに報告する役割を持つサービス（wlidsvc、CDPSvc、DoSvcなど）を無効化することで、通信自体を阻害するアプローチがあります。ただし、これをやると Microsoft Store やWindows のライセンス認証、プッシュ通知などが動作しなくなります。

mtd2. Microsoft サーバーへの通信を遮断

2番目の方法としては、サードパーティ製の DNSリゾルバ、 AdGuard や Pi-Hole などで Microsoft 関連サーバーへの通信を完全に遮断することです。ワイルドカードでの判定を行えるのでサブドメインまでブロックが容易という利点があります。 C:\Windows\System32\drivers\etc\hosts にブロックしたいサーバを記載しても良いですが、サブドメインまで一つ一つ追加しなければいけないのがかなり手間です。

一番お手軽に GDID を無効化するには、有志が作った「deGDID」というスクリプトを利用することです。

「deGDID」Windows GDIDを無効化するスクリプト

Windowsに埋め込まれた「GDID」とはMicrosoftの GDID （Global Device Identifier）とは、Windowsがインストールされたパソコンごとに、Microsoftのサーバーから自動的に割り当てられる、…

FBIがハッカーの逮捕にGDIDを”活用”

GDID が大きな注目を集めることになったきっかけは、ハッカー集団「Scattered Spider」のメンバーとされるピーター・ストークス（当時19歳、アメリカ・エストニア二重国籍）が FBI により逮捕され、米連邦検察の起訴状（訴状）が公開されたことです。

高級宝飾店へのサイバー攻撃

ことの発端は、2025年5月、アメリカの高級宝飾小売店「Company F」への不正侵入でした。スストークスらは、ITヘルプデスクに電話をかけて従業員を装い、管理権限を持つアカウントを含む3つのパスワードをリセットさせるというソーシャルエンジニアリング手法を用いました。

彼らはネットワークに侵入後、トンネリングツールの「ngrok」などを利用して約77GBのデータを盗み出し、800万ドルの身代金を要求しましたが、小売店側はこれを拒否し、連邦政府に助けを求めました。

VPNを無効化した「デジタル指紋」GDID

ストークスは自身の身元を隠すため、VPN プロキシ（Tzulo）を使用してIPアドレスを偽装していました。

しかし、FBI（連邦捜査局）が「ngrok」のデータを差し押さえたところ、犯行に使われたアカウントが作成されたその瞬間に、特定の GDID「g:6755467234350028」を持つ Windows デバイスが ngrok のサインアップページにアクセスしていたことが Microsoft の記録から判明しました。

前述しましたが、GDID はデバイス固有の永続的な識別子であり、VPN を使用してIPアドレスを変更しても変わることはありません。これにより、FBI は VPN の壁を越えて、攻撃に使用されたコンピュータを特定することに成功しました。

8ヶ月に及ぶ世界規模の追跡

FBI はこの GDID を追跡ビーコンとして利用し、約8ヶ月間にわたってストークスの足跡を世界中で追い続けました。

2024年 6月
エストニア（タリン）

同GDIDを持つデバイスがストークスの居住地であるタリンのIPアドレスからアクセスし、同時に彼のSnapchatやFacebookアカウントへのログインも確認
2024年11月
アメリカ（ニューヨーク）

デバイスはニューヨークのIPアドレスに出現。ストークスがSnapchatに投稿した「100ドル札の束で顔を隠した自撮り写真」の背景（壁紙やカーペット）が、そのIPアドレスから予約されたホテルの内装と一致
2025年 2月
タイ（バンコク）

デバイスはタイのIPアドレスからアクセスし、前日にストークスが投稿した「ウォルドーフ・アストリア・バンコク」での写真と場所が一致

このように、GDID が示すデバイスの動きと、彼自身の SNS投稿やゲーム（Growtopia）へのログイン履歴を照合することで、FBI は確固たる証拠を積み上げました

ヘルシンキ空港での逮捕

2026年4月、ストークスがフィンランドのヘルシンキ空港を歩いていたところ、インターポールの国際手配（赤色手配書）に基づき、フィンランド警察によって身柄を拘束されました。

逮捕当時、彼は日本行きの航空券と、2TBのハードディスク2台を所持していました。その後、彼はフィンランドからアメリカへ身代され、1億ドル以上の身代金に関わる100件以上の企業侵入、詐欺、サイバー侵入の罪で起訴されました。

ストークスは捨てアカウントとノーログ VPN を使い、痕跡を残さないことを徹底していました。フォーラムでうっかり私用メールアドレスを漏らしてしまった「pompompurin」とは違います。 Windows OS を使っている限り逮捕は免れませんでした。

これまで GDID が法執行機関にどれくらい利用されていたのか、今後 GDID を使った捜査が活発化していくのか気になるところです。

匿名性を求めるならばOSS

根本的な解決策は Linux や FreeBSD などのオープンソースOS を利用することです。

オープンソースソフトウェアだからといって完全に安全安心だということはありません。OpenSSH や XZ にバックドアが仕掛けられた事件もありました。しかし、何かしら不審なコードが見つかれば、コミュニティによってすぐに追及され、修正されます。

一方、Microsoft はライセンスの管理とユーザーの行動データ収集という明確な目的をもって、この監視機能を Windows に埋め込みました。今後ユーザーに配慮してGDIDを除去する、なんてことはまずないでしょう。

Linux は近年ユーザーの増加が目覚ましく、デスクトップOSのシェアは10％を超えたという統計データもあります。Adobe関連のアプリケーションや一部のオンラインゲームが非対応なことが多いくらいで一般的なユーザーにとって導入のハードルはかなり下がっています。ご自身のプライバシーを大事にしている方は Linux の導入を検討してみても良いかもしれません。