Investigação mostra como metadados podem revelar a identidade de um hacker

A existência de um identificador persistente utilizado pela Microsoft para reconhecer instalações do Windows voltou ao centro das discussões sobre privacidade digital. O assunto ganhou repercussão após um vídeo do canal Linus Tech Tips analisar como esse tipo de informação ajudou autoridades dos Estados Unidos a relacionar um computador a um suspeito de integrar o Scattered Spider, coletivo associado a ataques de engenharia social, roubo de dados e extorsão.

Intitulado “Maybe It’s Time to Leave Windows”, o vídeo apresenta o caso como um exemplo da capacidade de empresas de tecnologia de correlacionar atividades realizadas em diferentes momentos, endereços IP e localizações geográficas. A discussão, no entanto, exige uma distinção importante: o identificador não funciona necessariamente como um rastreador público que acompanha tudo o que o usuário faz na internet.

O caso demonstra, principalmente, como registros mantidos por provedores de serviços podem ser combinados durante uma investigação criminal. Quando associados a contas, horários, endereços IP, serviços de nuvem e outras evidências, identificadores técnicos podem contribuir para estabelecer que diferentes atividades partiram do mesmo dispositivo.

A própria documentação da Microsoft utiliza o campo GlobalDeviceId em serviços corporativos de telemetria e gerenciamento de atualizações, descrevendo-o como um identificador global de dispositivo usado internamente pela empresa.

Investigação revelou um identificador ligado a uma instalação do Windows

A controvérsia surgiu a partir do processo contra Peter Stokes, cidadão norte-americano e estoniano acusado de participar de uma invasão contra uma varejista de joias de luxo em maio de 2025.

De acordo com a denúncia federal, os invasores telefonaram para o suporte técnico da empresa, fingiram ser funcionários bloqueados e convenceram os atendentes a redefinir senhas e substituir os dispositivos vinculados à autenticação multifator.

Em poucas horas, os responsáveis pelo ataque assumiram três contas corporativas, incluindo duas pertencentes a administradores de TI. Em seguida, utilizaram ferramentas legítimas como ngrok e Teleport para criar túneis de comunicação, manter acesso ao ambiente e transferir informações para serviços de armazenamento em nuvem.

Pelo menos 77 GB de dados foram retirados. Os invasores também teriam tentado implantar ransomware, mas a execução foi impedida pela equipe de segurança da organização.

Mesmo sem conseguir criptografar os sistemas, os hackers exigiram US$ 8 milhões em criptomoedas para não divulgar as informações roubadas. A empresa não realizou o pagamento, mas estimou aproximadamente US$ 2 milhões em despesas relacionadas à interrupção das operações, investigação e recuperação do ambiente.

Stokes foi extraditado da Finlândia para os Estados Unidos e apresentado à Justiça federal em Chicago em junho de 2026. Ele responde a acusações de conspiração, fraude e invasão de sistemas, permanecendo legalmente presumido inocente enquanto o processo não for concluído.

Conta do ngrok abriu caminho para a atribuição

Um dos principais elementos da investigação foi a conta do ngrok criada para apoiar a invasão. O serviço permite estabelecer túneis criptografados entre máquinas locais e a internet e é amplamente utilizado por desenvolvedores e equipes de infraestrutura.

Durante o ataque, os invasores teriam usado a ferramenta para acessar recursos internos da varejista sem depender diretamente de conexões convencionais expostas no perímetro.

Registros obtidos pelos investigadores indicaram que o dispositivo responsável por abrir a página de cadastro do ngrok possuía um Global Device Identifier, ou GDID, representado no processo como g:6755467234350028.

Segundo a descrição atribuída à Microsoft na denúncia, o GDID está relacionado a uma instalação específica do Windows. O identificador pode permanecer inalterado após atualizações do sistema operacional, mas tende a mudar quando o Windows é reinstalado.

Esse comportamento permite reconhecer que determinadas interações com serviços da Microsoft foram realizadas pelo mesmo ambiente do Windows, mesmo quando o dispositivo utilizou diferentes redes ou endereços IP.

A conta do ngrok foi criada às 19h21 UTC de 12 de maio de 2025. Os registros mostraram que, no mesmo minuto, o dispositivo identificado pelo GDID acessou a página de cadastro do serviço.

Cerca de três horas depois, o mesmo dispositivo teria acessado o site da varejista por meio do servidor proxy relacionado à criação da conta. Essa proximidade temporal foi apenas uma das evidências utilizadas na investigação.

IPs, redes sociais e viagens complementaram as evidências

O GDID não teria sido suficiente, isoladamente, para identificar uma pessoa. A atribuição foi construída pela correlação de diferentes fontes de dados.

Os investigadores observaram que o mesmo dispositivo aparecia em endereços IP utilizados por contas do Snapchat, Facebook, Apple e outros serviços atribuídos a Stokes. As conexões também coincidiam com cidades nas quais ele estaria fisicamente presente.

Em junho de 2024, o identificador apareceu associado a um endereço IP em Tallinn, na Estônia, onde Stokes residia. Meses depois, registros semelhantes foram observados em Nova York e na Tailândia.

Essas localizações foram comparadas a registros de viagens obtidos pelas autoridades. Publicações em redes sociais também mostrariam o suspeito nos mesmos destinos.

A denúncia descreve ainda imagens de dinheiro, relógios e correntes com a inscrição “HACK THE PLANET”, além de mensagens que aparentemente provocavam autoridades policiais.

Portanto, o caso não representa uma situação em que um único número revelou automaticamente a identidade do operador. O que ocorreu foi uma análise de correlação: dispositivo, contas, horários, endereços IP, viagens, proxies e publicações foram reunidos para formar uma linha investigativa.

O GDID rastreia tudo o que o usuário acessa?

Não há evidências públicas de que o Global Device Identifier permita à Microsoft visualizar automaticamente todo site acessado por qualquer usuário do Windows.

Um site comum não recebe necessariamente o GDID apenas porque foi aberto em um computador com Windows. Para que a correlação seja possível, algum serviço envolvido na atividade precisa registrar ou receber o identificador, ou manter outros dados que possam ser relacionados ao dispositivo.

No caso investigado, a Microsoft possuía registros vinculados ao ambiente Windows e às interações do dispositivo com seus serviços. Outros provedores mantinham informações sobre contas, endereços IP e horários.

A relevância do GDID surgiu quando esses diferentes conjuntos de registros foram comparados.

A Microsoft reconhece que o Windows 10 e o Windows 11 realizam conexões com diversos serviços da empresa para funcionalidades como atualizações, proteção contra malware, validação de certificados, diagnóstico e sincronização. A companhia também disponibiliza configurações e políticas administrativas que permitem reduzir parte dessas comunicações, embora algumas restrições possam limitar recursos do sistema.

Isso significa que a discussão não deve ser reduzida à ideia de que a Microsoft conhece cada ação executada no computador. A questão central é a quantidade de metadados gerados por sistemas modernos e a possibilidade de correlacioná-los com outras fontes.

Telemetria desempenha funções legítimas no Windows

Identificadores persistentes não existem exclusivamente para investigações policiais. Eles são usados em diferentes processos operacionais e de segurança.

Em ambientes corporativos, um identificador estável pode ajudar a reconhecer equipamentos, acompanhar atualizações, diagnosticar falhas, gerenciar políticas, evitar registros duplicados e identificar comportamentos anormais.

A documentação do Azure Monitor, por exemplo, inclui o GlobalDeviceId em tabelas relacionadas a alertas de atualização e ao status do Windows Delivery Optimization. A Microsoft o define nesses contextos como um identificador interno ou global de dispositivo.

Essa telemetria pode ser útil para empresas que administram milhares de computadores. Sem uma forma consistente de diferenciar os dispositivos, seria mais difícil controlar versões do sistema, localizar máquinas vulneráveis ou avaliar falhas na distribuição de atualizações.

O risco surge quando identificadores capazes de individualizar um equipamento são mantidos por longos períodos, associados a contas ou combinados com informações de localização, comportamento e navegação.

Por isso, a discussão envolve transparência, finalidade, retenção dos registros, mecanismos de controle e proporcionalidade da coleta — não apenas a existência técnica do identificador.

Caso levanta questionamentos sobre privacidade

No vídeo, Linus Sebastian e Luke Lafreniere questionam até que ponto usuários do Windows conhecem os identificadores e a telemetria associados aos seus dispositivos.

Um dos principais pontos da discussão é a falta de visibilidade para o usuário comum. Mesmo quando a coleta está descrita em políticas de privacidade ou documentos técnicos, entender quais identificadores existem, quando são transmitidos e por quanto tempo permanecem armazenados pode exigir conhecimento especializado.

A situação também provoca questionamentos sobre o nível de controle oferecido ao usuário. Desativar determinados recursos de diagnóstico pode reduzir parte da coleta, mas não significa necessariamente eliminar todas as comunicações entre o Windows e a infraestrutura da Microsoft.

Em ambientes corporativos, administradores podem utilizar políticas de grupo e configurações específicas para limitar conexões. A Microsoft também mantém uma baseline destinada a organizações que precisam restringir o tráfego do Windows para serviços externos, alertando que essas alterações podem reduzir funcionalidades.

Para usuários domésticos, as opções estão distribuídas entre configurações de privacidade, diagnóstico, conta Microsoft, sincronização, publicidade e experiências personalizadas. A fragmentação desses controles torna difícil compreender o efeito completo de cada escolha.

Identificadores podem ser considerados dados pessoais

O Regulamento Geral sobre a Proteção de Dados da União Europeia, o GDPR, reconhece que identificadores on-line podem ser considerados dados pessoais quando permitem identificar ou distinguir uma pessoa, direta ou indiretamente.

A legislação adota uma definição tecnologicamente neutra. Isso significa que uma informação não precisa conter o nome de alguém para receber proteção jurídica. Um identificador de dispositivo pode se tornar dado pessoal quando está relacionado a uma conta, endereço IP, localização ou conjunto de comportamentos capaz de individualizar o usuário.

O GDPR exige que o tratamento de dados pessoais possua base jurídica, finalidade determinada e transparência. Também estabelece princípios de minimização, segurança e limitação do período de armazenamento.

Contudo, o uso de dados em investigações conduzidas por autoridades pode estar sujeito a legislações específicas, diferentes das regras comuns aplicáveis ao tratamento comercial. O próprio regulamento europeu diferencia atividades corporativas de operações realizadas por autoridades competentes para prevenção, investigação e repressão de crimes.

O caso de Stokes, portanto, não permite concluir automaticamente que a existência ou o fornecimento do GDID representa uma violação do GDPR. Uma avaliação jurídica dependeria de fatores como finalidade original da coleta, transparência, localização dos titulares, base legal, período de retenção e procedimento usado pelas autoridades para obter os dados.

Privacidade não depende apenas do sistema operacional

O vídeo também amplia o debate para uma possível migração do Windows para Linux. Sistemas de código aberto geralmente oferecem maior capacidade de inspeção, configuração e limitação da telemetria, especialmente quando não estão vinculados a uma conta centralizada de um fornecedor.

Isso não significa que trocar o Windows pelo Linux torne uma pessoa anônima.

Distribuições Linux também utilizam identificadores locais, como o machine-id, para diferenciar instalações. Aplicativos, navegadores, serviços de nuvem, provedores de internet, sites e plataformas de publicidade ainda podem registrar endereços IP, cookies, impressões digitais do navegador e contas autenticadas.

A principal diferença está na arquitetura e no controle. Em muitos sistemas Linux, identificadores locais não são enviados automaticamente a uma única empresa responsável por todo o sistema operacional. Entretanto, os programas instalados pelo usuário podem continuar coletando informações.

No macOS, Android e iOS também existem identificadores, telemetria e integração com contas mantidas pelos fabricantes. Smartphones ainda possuem elementos adicionais, como IMEI, identificadores de publicidade, dados de operadora e localização.

A escolha do sistema operacional influencia a privacidade, mas representa apenas uma parte do problema. Navegador, aplicativos, autenticação em serviços, configurações de conta e exposição em redes sociais podem ser igualmente relevantes.

Criminosos cometeram falhas de segurança operacional

Embora o GDID tenha recebido destaque, a investigação também revela uma série de erros de segurança operacional atribuídos ao suspeito.

O dispositivo usado para criar a conta relacionada ao ataque também teria sido utilizado para acessar contas pessoais. Os mesmos endereços IP apareceram associados a serviços ligados à identidade de Stokes, enquanto publicações em redes sociais indicavam suas viagens e seu estilo de vida.

Esse conjunto de comportamentos reduziu o valor das técnicas utilizadas para ocultar a invasão. VPNs, proxies, aliases e túneis criptografados dificultaram a análise, mas não impediram a correlação.

A situação demonstra que anonimato não depende apenas da ferramenta usada durante o ataque. A reutilização de dispositivos, contas, infraestrutura e padrões de acesso cria vínculos que podem permanecer disponíveis por anos.

Mesmo que um endereço IP seja alterado por uma VPN, outros elementos continuam existindo: configuração do dispositivo, horários, cookies, contas autenticadas, pagamentos, hábitos de utilização e registros mantidos pelos provedores.

Scattered Spider explora pessoas antes de explorar sistemas

A investigação que originou o debate sobre o GDID está ligada a uma ameaça mais ampla. O Scattered Spider é conhecido por utilizar engenharia social contra centrais de atendimento, funcionários e prestadores de serviços.

Seus operadores frequentemente telefonam para o help desk, simulam problemas de acesso e tentam convencer os atendentes a redefinir senhas ou métodos de autenticação multifator.

Depois de obter uma identidade válida, os invasores utilizam ferramentas administrativas legítimas para se movimentar dentro do ambiente. Essa estratégia dificulta a detecção porque parte das ações pode parecer semelhante à rotina de um profissional autorizado.

O coletivo também é acompanhado por diferentes empresas sob nomes como Octo Tempest, UNC3944 e 0ktapus. Em vez de uma organização rigidamente hierárquica, análises descrevem uma rede de pequenos grupos e operadores que compartilham métodos, ferramentas e comunidades on-line.

Por esse motivo, a prisão de um suspeito não significa necessariamente o encerramento das campanhas.

O caso demonstra como sistemas operacionais, plataformas digitais e serviços em nuvem formam uma extensa cadeia de registros.

Cada provedor pode possuir apenas uma parte da atividade: um serviço registra a criação de uma conta; outro mantém o endereço IP; uma plataforma associa o acesso a um dispositivo; uma rede social fornece publicações e horários; autoridades de fronteira mantêm informações de viagem.

Separadamente, esses dados podem parecer pouco conclusivos. Quando reunidos, porém, conseguem reconstruir trajetórias digitais com elevado nível de precisão.

O debate levantado pelo vídeo não se limita à possibilidade de abandonar o Windows. A questão mais ampla é quanto conhecimento empresas e usuários possuem sobre os metadados gerados pelos dispositivos e quais controles efetivos existem sobre seu uso.

Identificadores persistentes têm aplicações legítimas em segurança, atualização e gerenciamento. Ao mesmo tempo, sua capacidade de conectar atividades ao longo do tempo exige transparência, proteção e governança compatíveis com o risco.