Windows te pone un número invisible que no puedes apagar y el FBI ya lo sabe usar

Si llevas años usando Windows con cuenta Microsoft, hay un número que lleva meses — quizás años — viajando silenciosamente desde tu PC hasta los servidores de Redmond. No es un bug. No es un virus. Es una función de fábrica, documentada por primera vez no por la propia empresa, sino por un expediente del FBI en una corte federal de Estados Unidos.

Me refiero al Global Device Identifier (GDID): un identificador único, persistente y a nivel de dispositivo que Windows asigna cuando configuras el sistema con una cuenta Microsoft. La parte incómoda es la que más cuesta digerir: no se puede desactivar sin romper la activación y las apps de la Microsoft Store. Literalmente, está soldado al corazón comercial del sistema operativo.

Qué es el GDID y por qué importa

El mecanismo es relativamente simple. El servicio wlidsvc pide un Device PUID a login.live.com durante la configuración. La Connected Devices Platform lo registra en el Device Directory Service. Cada vez que Windows descarga o comparte actualizaciones vía Delivery Optimization, ese ID viaja de vuelta a Microsoft. Se guarda en el registro bajo HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties, con un prefijo en minúscula «g» seguido de un número decimal.

Lo inquietante no es la existencia del identificador — Apple y Google también tienen los suyos. Lo que molesta es la asimetría de control. Apple te muestra un prompt de App Tracking Transparency y te permite resetear el IDFA. Android te da controles visibles. Microsoft no te entrega ninguna interfaz para ver el tuyo ni para apagarlo. La única referencia pública oficial antes de este caso era una línea en la documentación de Azure Monitor para administradores de TI.

Cómo lo usó el FBI en el caso Scattered Spider

El expediente del caso Scattered Spider, contra Peter Stokes, muestra exactamente cómo se aprovecha este identificador en la práctica. El FBI vinculó un GDID específico a un conjunto de direcciones IP usadas con VPN, y a partir de ahí cruzó datos con cuentas de Snapchat, Facebook, Apple y Ubisoft. En la denuncia aparece el g:6755467234350028 accediendo a la página de signup de ngrok en el mismo instante en que se creaba una cuenta usada en un ataque.

Aquí hay una distinción que pocos medios están aclarando bien. El GDID no viaja a cada sitio web que visitas. Lo que el FBI tuvo fue un registro de Microsoft vinculando qué IP usó qué GDID y a qué hora. Cruzando esa tabla con logs de ngrok, de la VPN Tzulo y de la víctima, armaron el recorrido. No es un keylogger; es un índice cruzado, y eso ya es suficiente para seguir a alguien por cuatro países durante ocho meses.

Lo que esto significa para ti en la pega

Trabajo con infraestructura y esto me hace ruido. Cada laptop Windows con cuenta Microsoft está reportando un ID estable que sobrevive a actualizaciones. Reinstalar Windows te da un GDID nuevo, pero si vuelves a entrar con la misma cuenta Microsoft, la compañía tiene cómo vincularlo con el anterior. Es decir: la huella está atada a la cuenta, no a la máquina.

¿Qué puedes hacer? La opción nuclear es usar cuenta local en vez de cuenta Microsoft durante el setup — en Windows 11 está cada vez más escondido, pero sigue ahí. También ayuda desactivar datos de diagnóstico opcionales, recomendaciones y ofertas, y la búsqueda en la nube. Y si tu pega o tu situación personal requiere anonimato real (periodismo, activismo, violencia doméstica), la respuesta sensata es Linux ruteado a través de Tor, no una VPN comercial sobre una laptop con Windows.

Mi opinión de ingeniero

Aquí no me cuadra el argumento de que «es solo para licenciamiento y seguridad». Un identificador que no es documentado al usuario, que no se puede apagar sin romper funciones centrales, y que sobrevive a actualizaciones durante años, no es una herramienta técnica inocua. Es un sistema de seguimiento persistente, construido por defecto, sin consentimiento explícito.

El investigador Matthew Hickey dijo que Windows es «surveillance software» y la verdad es que cuesta discutirle el punto después de leer la denuncia. Microsoft tiene la obligación — no solo la oportunidad — de transparentar el GDID, entregar una API para que el usuario lo vea, y permitir resetearlo desde Configuración, tal como lo hace Apple. Si no lo hacen, la conversación deja de ser técnica y pasa a ser regulatoria. Y en la Unión Europea, esto ya está en la línea de lo que el GDPR considera inaceptable.

Mientras tanto, cada vez que enciendes tu PC con Windows y cuenta Microsoft, recuerda: hay un número que te identifica, que no puedes ver, y que no puedes apagar. No es paranoia. Está en un expediente federal.

Fuente de inspiración: Microsoft Confirms Windows GDID Device Identifier That Cannot Be Disabled, Documented in FBI Case Filing