Qu’est-ce que le GDID de Windows qui a permis au FBI de retrouver un suspect ?

Le 1er juillet 2025, le département américain de la Justice (DoJ) a annoncé l'arrestation de Peter Stokes, un membre du groupe de pirates Scattered Spider (aussi appelé Octo Tempest ou UNC3944), âgé de 19 ans et de nationalités américaine et estonienne.

Il est poursuivi pour complot, intrusion informatique et fraude, avec des accusations liées à plus de 100 intrusions sur des réseaux, causant plus de 100 millions de dollars de rançons et des millions supplémentaires en dommages.

Son arrestation, intervenue en avril 2025 en Finlande, a été suivie d'une extradition vers les États-Unis où il a comparu pour la première fois le 1er juillet.

Le groupe Scattered Spider est notamment connu pour avoir ciblé un détaillant de bijoux de luxe en 2025, exigeant une rançon de 8 millions de dollars en cryptomonnaie, sans succès, mais causant au moins 2 millions de dollars de pertes liées aux perturbations commerciales et aux mesures de sécurité.

Le FBI a pu identifier et arrêter Peter Stokes grâce à un identifiant unique généré par Windows, appelé GDID (Global Device Identifier).

Cet identifiant, spécifique à chaque machine, est généré lors de la première connexion à un service Microsoft et ne change pas même après des mises à jour ou des manipulations du système.

Bien qu'il ne soit pas conçu pour la surveillance, le GDID a permis de relier des sessions en ligne distinctes, malgré l'utilisation d'outils comme ngrok (un service de tunneling) ou Tzulo (un VPN), souvent employés par les pirates pour masquer leur activité.

Les enquêteurs ont obtenu des enregistrements d'adresses IP auprès de ces services, puis ont utilisé le GDID pour associer ces adresses à une machine située en Estonie, où le suspect résidait.

Le GDID est un identifiant logiciel, et non matériel, généré par les services de comptes Microsoft (wlidsvc).

Il est stocké dans le registre Windows et utilisé par la plateforme Connected Devices Platform pour des fonctions comme Phone Link ou le presse-papiers cloud.

Son format est une chaîne commençant par g: suivie d'une série de chiffres (exemple : g:6755467234350028).

Contrairement à une rumeur, le GDID n'est pas calculé à partir de numéros de série matériels.

Il reste persistant tant que le système Windows n'est pas réinstallé, ce qui en fait un outil utile pour la télémétrie, les diagnostics ou la gestion des licences.

Cependant, il ne permet pas de suivre directement une adresse IP, car il est utilisé comme une clé de corrélation entre des sessions distinctes, même lorsque ces sessions utilisent des VPN ou des réseaux anonymes comme Tor.

Le GDID n'est pas un outil de surveillance passive et ne peut pas être utilisé pour espionner un utilisateur à distance sans une coopération légale.

Il n'est pas accessible publiquement et ne peut pas être récupéré par des sites web pour créer une empreinte numérique (fingerprint) de l'utilisateur.

Son obtention nécessite un mandat et une demande auprès de Microsoft.

Dans l'enquête, le GDID a servi à relier des sessions en ligne à une machine spécifique, mais d'autres techniques complémentaires ont probablement été utilisées pour identifier des URLs précises visitées par cette machine.

Le GDID n'est donc pas une faille de sécurité en soi, mais un identifiant stable qui, combiné à d'autres données, peut aider à tracer une activité malveillante.

L'arrestation de Peter Stokes illustre les risques liés à l'utilisation d'un système Windows grand public pour des activités illégales.

Les pirates professionnels évitent généralement de mélanger des sessions identifiées avec des activités sensibles, en utilisant des systèmes dédiés comme Tails ou Qubes OS, qui ne sont pas associés à des comptes Microsoft.

Comme le souligne l'ingénieur Pasquale Pillitteri, de nombreux identifiants stables sont générés par les appareils modernes, du système d'exploitation aux navigateurs, en passant par les comptes en ligne.

Le GDID n'est donc pas le seul outil permettant de tracer une activité, mais il représente un risque supplémentaire pour les pirates qui ne cloisonnent pas leurs identités numériques.

Le GDID est un exemple de la complexité des outils de traçage numérique, où des identifiants apparemment anodins peuvent devenir des éléments clés dans des enquêtes judiciaires.

Bien que Microsoft n'ait pas conçu le GDID pour la surveillance, son utilisation dans cette affaire montre comment des données techniques peuvent être exploitées dans un cadre légal pour lutter contre la cybercriminalité.

Cependant, les informations disponibles sur le GDID restent limitées, ce qui alimente des spéculations.

Son obtention nécessite une coopération entre les autorités et les entreprises technologiques, soulignant l'importance des mandats judiciaires dans la collecte de preuves numériques.