WindowsのGDID、解析で全容判明。完全な無効化は不可能

FBIがハッカーの追跡に使ったWindowsの固有識別子GDID。独立した研究者がバイナリを解析し、生成から送信までの全経路を突き止めた。Microsoftアカウントの有無にかかわらず生成され、ユーザーが完全に止める手段はない。

Microsoftが公式に語らなかった中身

Windowsのすべてのインストールに含まれるGDID（Global Device Identifier）の正体が、独立した研究者のリバースエンジニアリングで明らかになった。

きっかけは2026年6月30日に公開された、Scattered Spiderメンバーとされるピーター・ストークス（Peter Stokes）氏に対する連邦訴状だった。GDIDがFBIの追跡に使われたことが法廷文書に記載され、Windowsユーザーの間に波紋が広がった。

Microsoftの公式文書でGDIDに触れているのは、Azure Monitorのリファレンス内にある1行だけだ。配信の最適化テーブルUCDOStatusのカラム定義に「Microsoftが内部で使用する識別子」と記載されているだけで、生成の仕組みも収集対象も説明されていない。

この空白を埋めたのが、Windowsのバイナリと公開デバッグシンボルを解析し、全工程をGitHubに公開した研究者の仕事だ。

64ビットのサーバー発行ID

訴状に記載されたGDIDの値はg:6755467234350028。16進数に変換すると0x0018000FC8CB93CCで、64ビットに収まる。

SNSで拡散した「128ビットのハードウェアシリアル由来」という説明は、ビット長も生成方法も実態と異なる。

解析で判明した生成経路はこうだ。Windowsのアカウントサービス（wlidsvc.dll）がMicrosoftの認証サーバーlogin.live.comにデバイスを登録すると、サーバーがDevice PUID（Passport Unique ID）という64ビットの値を発行して返す。

この値はレジストリに平文で保存される。スマートフォン連携やクラウドクリップボードを担うConnected Devices Platform（cdp.dll）がその値を読み取り、MicrosoftのDevice Directory Service（クラウド上のデバイス管理データベース）に登録する。配信の最適化がその値をUCDOStatus.GlobalDeviceIdとして報告する。

GDIDはハードウェア由来の値ではなく、Microsoftのサーバーが割り当てるアカウント系の識別子だった。訴状が「再インストールで新しいGDIDが発行される」と述べていることもこの性質と合致する。ハードウェアのシリアル番号から導出された値であれば、再インストール後も同じ値が返るはずだ。

ローカルアカウントでも生成される

当初、研究者はGDIDの生成にMicrosoftアカウントへのサインインが必要だと報告していた。追加の検証を経て、研究者自身がこの見解を撤回している。

Connected Devices Platformには匿名デバイスパスが存在し、Microsoftアカウントに接続していない環境でもGDIDは生成される。ローカルアカウントだけで運用しているPCも対象であり、「Microsoftアカウントを使わなければ安全」という広まった対策はそもそも成り立たない。

止める手段がない

Windows/Office向けの非公式アクティベーションツールで知られるMassgrave（MAS）が、GDIDについて分析を公開した。

Windowsのインストール時にインターネットに接続すると、ハードウェア情報がMicrosoftに送信され、識別子が返される。その識別子はMicrosoft Store、Windowsアクティベーション、その他のサービスとの通信に使われる。

Masgraveの結論は、アクティベーションとUWPアプリを壊さずにGDIDの生成を止めることは不可能だというものだ。

対策として挙げられているのは、テレメトリ設定の制限、Microsoftアカウントの不使用、Microsoft Edgeの不使用だが、いずれもGDIDの生成そのものを止めるのではなく、送信される情報の量を減らすだけにとどまる。

再インストールすれば新しいGDIDが発行されるが、同じMicrosoftアカウントでサインインすれば、OneDriveやアクティベーション履歴を通じて旧GDIDと紐づけられる。

Windowsの設定から「アクティビティの履歴」をオフにし、Connected Devices Platformのサービス（CDPSvc、CDPUserSvc）を停止すれば、デバイスグラフへの同期と行動データの送信は止まる。代償としてスマートフォン連携やクラウドクリップボードが動作しなくなる。

他のOSとの差

AppleにもハードウェアUUIDやiCloudに紐づくDSID（Destination Signaling Identifier）があり、Linuxにもmachine-idが存在する。デバイスの永続的な識別子はWindows固有の問題ではない。

違いはユーザーに選択肢があるかどうかだ。AppleはiOS 14.5以降、App Tracking Transparency（ATT）を導入し、アプリがユーザーを追跡する前に明示的な許可を求める仕組みを設けた。AndroidもGoogle広告IDのリセットや無効化の選択肢を提供している。

WindowsのGDIDには同等のオプトアウトが存在しない。GDIDデータをいつ法執行機関と共有するか、Microsoftは方針を公開しておらず、GDIDに関する透明性レポートもない。

訴状が映した追跡の精度

ストークス氏に対する訴状は、GDIDの記録がどこまで具体的かを示している。VPN経由でngrok（トンネリングサービス）のアカウントが作成された2025年5月12日19時21分（UTC）、同じGDIDがサインアップページへアクセスしていた記録をMicrosoftが保持していた。

エストニア、ニューヨーク、タイ。8か月間で3か国にまたがるIPアドレスが、ストークス氏のSNSアカウントのログインと数分差で繰り返し一致した。

VPNはネットワーク上の接続元を隠すが、GDIDはデバイスそのものに紐づき、VPNとは無関係にMicrosoftへ送信される。攻撃にも私生活にも同じ1台を使い続けた結果、すべての行動が1つのGDIDに収束した。