2026年7月、米司法省がハッカーグループ「Scattered Spider」のメンバーを起訴した裁判資料(United States v.Peter Stokes)の中で、Microsoftが犯人のデバイス追跡のために利用した「GDID(Global Device Identifier)」の存在が公になりました。このGDIDに関する情報をまとめた「Full writeup of the Windows GDID」がGitHubに公開され注目を集めています。誤解されがちなGDIDの正体裁判資料によると、GDIDは「Windows OSのインストールごとに割り当てられる永続的なデバイスレベルの識別子」と定義されています。OSのアップデートを行っても維持されますが、OSを再インストールした場合には新しいGDIDへと更新される性質を持っています。SNSなどを中心に「GDIDはGPUなどのハードウェアシリアルナンバーから生成される128ビットの暗号識別子である」といった情報が急速に拡散たものの、実際の解析結果により、ネット上で流布していた情報の多くは誤りであることが判明しています。まず、GDIDは128ビットではなく、実態は64ビットの数値データ(g: 6755467234350028のようなg: 形式)で、また、「ハードウェアのシリアル番号から生成されている」という点も不正確だとのことです。裁判資料自体に「OSを再インストールすると新しいGDIDに変わる」と明記されている通り、GPUなどの物理パーツ固有のシリアルナンバーに依存して計算されているわけではありません。GDIDの真の正体は、Microsoftアカウント(MSA)やシステムが管理する「Device PUID(Passport Unique ID)」と呼ばれるサーバー発行の識別子だそうです。GDIDが生成・伝播する内部の仕組みWindows内部では、複数のサービスが連携してGDIDを処理・共有しています。まず、アカウント管理サービスであるwlidsvc.dllがlogin.live.comと通信を行ってデバイスのプロビジョニングを実行し、サーバー側から「Device PUID」を受け取ります。この値はレジストリ内に平文で保存されます。なお、Microsoftアカウントにログインしていない匿名環境であっても、別ルートの匿名デバイスパスを通じてGDIDが割り当てられる仕様になっています。次に、近接共有やクラウド連携を担うConnected Devices Platform(cdp.dll/CDPSvc)がレジストリからこの識別子を読み込み、Microsoftの「DDS(Device Directory Service)」に登録します。最終的に、配信最適化サービス（dosvc.dll）などの各種テレメトリ機能がこの識別子を参照し、IPアドレスやジオロケーション情報とともにMicrosoftのサーバーへ送信する仕組みになっています。自身のGDIDを確認する方法と対策GDIDはハードウェアそのものを縛る不可逆なシリアルハッシュではなく、OSのセットアップ時や認証時にサーバーから割り当てられる識別子です。自身のWindows環境に割り振られているGDIDは、レジストリを読み込むことで簡単に確認できます。具体的には、HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedPropertiesのLID項目に16進数形式で格納されており、これを10進数に変換して頭にg: を付けることで、Microsoft側で扱われているGDIDの文字列を取得できます。個人の追跡リスクを抑えたい場合、Connected Devices Platform関連サービス(CDPSvcやCDPUserSvc)を停止したり、Windowsの「アクティビティの履歴」送信をオフにすることが有効な対策とされています。ただし、あくまでも軽減するだけで完全な回避は不可能な状況です。Redditの反応は？今回の問題はRedditでも注目されており、「特別新しいことや未知の脅威ではない」という冷めた意見や、Microsoftアカウントの強制仕様への批判が寄せられています。また、ハッカーがVPNを使用していたにもかかわらず特定されたのは、通信経路(IPアドレス)を隠していても、Microsoft EdgeなどのブラウザやWindowsサービス(ngrokの利用やリモートデスクトップ接続時など)を通じて、同一のGDIDが認証・ログとともにMicrosoftのサーバーに送信され続けていたためだといった技術的な詳細に関する議論が行われています。さらに、Windowsを使っている限り回避不可能な問題であるため、Linuxへの乗り換えを推奨するユーザーも多いようです。