Si usas Windows, probablemente(ventana nueva) al menos(ventana nueva) seas vagamente consciente(ventana nueva) de que tu portátil te está espiando(ventana nueva). Esta semana, hemos recibido un recordatorio concreto de lo realmente invasivo(ventana nueva) para la privacidad(ventana nueva) que es el omnipresente sistema operativo de Microsoft.
Peter Stokes, un joven de 19 años sospechoso de ser miembro del conocido grupo de piratería informática criminal Scattered Spider(ventana nueva), fue extraditado de Finlandia a los Estados Unidos y acusado de piratear a la “Empresa F, un minorista de joyería de lujo”.
Sin embargo, lo que hace que el caso sea interesante es cómo lo atraparon.
Windows como programa espía
Según la denuncia penal(ventana nueva) del FBI, Stokes utilizó una VPN para ocultar su actividad online. Esta se considera una opción sensata, ya que una VPN oculta tu dirección IP real de los sitios web que visitas y tu actividad online de tu ISP. Pero cometió un error de novato fatal: usó Windows.
Las autoridades identificaron a Stokes utilizando los registros de Microsoft que vinculaban su ordenador con el uso sospechoso de ngrok, una herramienta de túneles de desarrollo web que se utilizó para “eludir las defensas de red de la Empresa F y activar un acceso persistente no autorizado al centro de datos de la Empresa F”.
Microsoft pudo identificar el ordenador de Stokes gracias a su identificador global de dispositivo (GDID), un “identificador a nivel de dispositivo diseñado para identificar de forma exclusiva una instalación de un sistema operativo Windows en un dispositivo”.
En otras palabras, cada instalación de Windows tiene un GDID que Microsoft puede usar para identificar un dispositivo (incluidos los dispositivos virtuales), y para recopilar telemetría(ventana nueva). Reinstalar Windows crea un nuevo GDID para ese dispositivo, pero no borra el antiguo de los sistemas de Microsoft, por lo que todavía se puede usar para identificar un dispositivo.
A continuación, Microsoft entregó esta información a terceros.
Cómo utilizó el FBI la información proporcionada por Microsoft
Esta prueba por sí sola no era suficiente para conectar el delito con Stokes, pero conocer el GDID proporcionó al FBI un historial de direcciones IP a las que su dispositivo había accedido a lo largo del tiempo. Para demostrar que esas IP pertenecían específicamente a Peter Stokes, los investigadores cotejaron este historial de IP con los inicios de sesión en cuentas que se sabía que eran suyas, incluidas las de Apple, Snapchat, Facebook y su inicio de sesión en el juego Growtopia.
Según la denuncia, conectar el GDID con cuentas que se sabía que pertenecían a Stokes ayudó a demostrar que el GDID utilizado para piratear al joyero pertenecía a un dispositivo propiedad de Stokes.
El hecho de que una de las direcciones IP identificadas de esta manera perteneciera a un hotel de Nueva York que, según los investigadores, coincide con el interior visible en un selfie de Snapchat que muestra a Stokes cubriéndose la cara con un fajo de billetes de 100 dólares, es poco probable que ayude a su caso.
¿Qué significa esto para el resto de nosotros?
Lo primero que hay que destacar es que, en este caso, el sistema trabajó como estaba previsto.
Stokes se enfrenta a cargos que incluyen conspiración, intrusión informática y delitos de fraude relacionados con más de 100 millones de dólares en pagos de rescates a través de más de 100 intrusiones corporativas desde 2022. El uso de datos de Microsoft por parte del FBI entra dentro de los marcos legales que requieren órdenes judiciales y citaciones.
Pero el GDID plantea preguntas importantes sobre el consentimiento del usuario y sobre quién es realmente el propietario del hardware por el que pagas. Nunca se te pide que aceptes el GDID en tu dispositivo, y no hay una forma fácil de eliminarlo. Incluso reinstalar Windows por completo es solo una solución parcial.
En toda la extensa documentación online de Microsoft, GlobalDeviceId merece una única mención enterrada(ventana nueva) en un documento técnico sumamente oscuro que es poco probable que alguien llegue a leer.
Sin embargo, es cierto que todos los demás sistemas operativos comerciales importantes, como macOS, Android e iOS, también pueden, casi con toda seguridad, identificar de forma exclusiva los dispositivos ante sus fabricantes. Lo lamentable es que la mayoría de nosotros simplemente aceptamos esta situación.
Para quienes no lo hacen, la única forma práctica de evitarlo es utilizar sistemas operativos de código abierto, como Linux.
