- El GDID es un identificador único y persistente asignado a cada instalación de Windows que permite rastrear el dispositivo independientemente de la IP.
- Fue clave para que el FBI identificara a un cibercriminal al vincular sus actividades en diferentes países y servicios a pesar del uso de VPN.
- No se puede desactivar desde el panel de configuración y solo cambia mediante una reinstalación completa del sistema operativo.
A veces pensamos que con poner una VPN en Windows o borrar las cookies ya somos invisibles en la red, pero la realidad es que Windows guarda un as bajo la manga que nos deja bastante expuestos. Estamos hablando del Global Device Identifier o GDID, una especie de matrícula digital que el sistema operativo asigna a cada instalación y que, hasta hace muy poco, era un secreto a voces mantenido bajo llave por Microsoft.
Este asunto ha saltado a la luz de la forma más accidentada posible, concretamente a través de un expediente judicial del FBI relacionado con el grupo de ciberdelincuentes Scattered Spider. Lo que empezó como una investigación criminal ha terminado abriendo un melón enorme sobre la privacidad y la telemetría, revelando que Microsoft tiene la capacidad de rastrear un equipo aunque el usuario cambie de país o de conexión.
¿Qué demonios es exactamente el GDID?
Para que nos entendamos, el GDID es un identificador persistente y único que se vincula directamente a una instalación concreta de Windows. No es lo mismo que la dirección IP, que cambia según la red, ni que una cookie del navegador, que puedes borrar en un segundo. Se trata de un valor numérico que sirve para que Microsoft pueda diferenciar una instalación del sistema operativo de cualquier otra en sus servicios internos.
Es importante aclarar que este código puede estar asociado tanto a un ordenador físico como a una máquina virtual. De hecho, si tienes tres ordenadores distintos con Windows, tendrás tres GDID diferentes, ya que la huella no es del usuario en sí, sino de la copia del sistema instalada en el hardware.
Cómo se genera y dónde se esconde
Como Microsoft no ha soltado prenda ni ha publicado un manual técnico detallado, hemos tenido que recurrir a la ingeniería inversa y al análisis de tráfico de usuarios avanzados. Según estas investigaciones, el proceso comienza cuando vinculamos el equipo con una cuenta de Microsoft. En ese momento, el servicio de identidad wlidsvc se pone en contacto con los servidores de la compañía para solicitar un Device PUID.
Este número, que es un valor de 64 bits asignado remotamente, se almacena en el registro de Windows, concretamente en la ruta de HKCUSOFTWAREMicrosoftIdentityCRLExtendedProperties bajo el nombre de LID. Una vez guardado, el servicio Connected Devices Platform toma el relevo y lo registra en el Directorio de Dispositivos de Microsoft, añadiendo una «g» al principio para darle el formato final de GDID.
La pieza clave para atrapar a un hacker
La peligrosidad de este sistema se vio reflejada en la detención de Peter Stokes, presunto miembro de Scattered Spider. El sujeto intentó ocultar su rastro usando proxies y VPN de diversos países, pero el GDID fue el hilo del que tiró el FBI. Los agentes descubrieron que, aunque la IP cambiaba, el identificador del dispositivo seguía siendo el mismo cada vez que accedía a servicios como ngrok, Snapchat o Facebook.
- El GDID permitió unir puntos entre una IP en Tallín, Estonia, y otra en Nueva York.
- Se vinculó la actividad del equipo con el acceso a cuentas de Apple y Ubisoft.
- La persistencia del código permitió crear una línea temporal exacta de los movimientos del sospechoso.
Lo más inquietante es que este rastreador sobrevive a las actualizaciones del sistema. Solo hay una forma de que el GDID cambie: haciendo una reinstalación completa de Windows desde cero. Sin embargo, si el usuario vuelve a iniciar sesión con la misma cuenta, Microsoft puede volver a relacionar la nueva instalación con la anterior mediante otros datos del ecosistema.
El debate sobre la privacidad y la falta de transparencia
Aquí es donde la cosa se pone fea. Mientras que en Android o iOS tenemos interruptores claros para gestionar el identificador publicitario, en Windows el GDID es prácticamente invisible. No hay ningún botón en el panel de Configuración para consultarlo, reiniciarlo o, mejor aún, desactivarlo. Microsoft se ha limitado a mencionarlo muy vagamente en la documentación de Azure Monitor, tratándolo como un dato de uso interno.
Muchos expertos en ciberseguridad han calificado este comportamiento como un auténtico software de vigilancia. El problema no es que el sistema necesite un ID para gestionar licencias o actualizaciones, sino que se utilice para correlacionar actividad de red a través de diferentes IPs y tiempos sin que el usuario haya dado un consentimiento explícito y claro.
¿Cómo podemos limitar este rastreo?
Si te pican los nervios y quieres reducir la cantidad de datos que Windows envía a Redmond, hay algunas medidas que puedes tomar, aunque no son infalibles. La opción más efectiva es usar una cuenta local en lugar de una cuenta de Microsoft, lo que reduce el vínculo directo con tu identidad online, aunque el GDID podría seguir existiendo de forma anónima.
También es recomendable entrar en Configuración > Privacidad y seguridad y desactivar todo lo que sea diagnóstico opcional, publicidad personalizada y la búsqueda de contenido en la nube. Para quienes manejan información extremadamente sensible, como periodistas o activistas, la única solución real es dar el salto a Linux y navegar a través de Tor, ya que una VPN comercial no es suficiente para engañar al GDID.
Este sistema de marcado digital demuestra que la privacidad absoluta en entornos Windows es una utopía, ya que el sistema operativo está diseñado para mantener un vínculo constante con sus servidores. La revelación de que un identificador oculto puede desmantelar el anonimato de una VPN pone de manifiesto la enorme brecha de transparencia entre lo que el usuario cree que controla y lo que Microsoft realmente monitoriza.