Se usi Windows, sei probabilmente(nuova finestra) per lo meno(nuova finestra) vagamente consapevole(nuova finestra) che il tuo laptop ti sta spiando(nuova finestra). Questa settimana abbiamo ricevuto un promemoria concreto di quanto l’onnipresente sistema operativo di Microsoft sia davvero invasivo(nuova finestra) per la privacy(nuova finestra).
Peter Stokes, un diciannovenne sospettato di essere membro del famigerato gruppo di hacker criminali Scattered Spider(nuova finestra), è stato estradato dalla Finlandia negli Stati Uniti e accusato di aver hackerato la “Company F, un rivenditore di gioielli di lusso”.
Ciò che rende interessante il caso, tuttavia, è il modo in cui è stato catturato.
Windows come spyware
Secondo la denuncia penale(nuova finestra) dell’FBI, Stokes ha utilizzato una VPN per nascondere la sua attività online. Questa è ampiamente considerata un’opzione sensata, poiché una VPN nasconde il tuo vero indirizzo IP ai siti web che visiti e la tua attività online al tuo ISP. Ma ha commesso un errore da principiante fatale: ha usato Windows.
Le autorità hanno identificato Stokes utilizzando i registri di Microsoft che collegavano il suo computer all’uso sospetto di ngrok, uno strumento di tunneling per lo sviluppo web utilizzato per “aggirare le difese di rete della Company F e attivare l’accesso non autorizzato persistente al data center della Company F”.
Microsoft è stata in grado di identificare il computer di Stokes grazie al suo Global Device Identifier (GDID), un “identificatore a livello di dispositivo progettato per identificare in modo univoco un’installazione di un sistema operativo Windows su un dispositivo”.
In altre parole, ogni installazione di Windows ha un GDID che Microsoft può utilizzare per identificare un dispositivo (compresi i dispositivi virtuali) e per raccogliere dati di telemetria(nuova finestra). La reinstallazione di Windows crea un nuovo GDID per quel dispositivo, ma non cancella quello vecchio dai sistemi di Microsoft, quindi può ancora essere utilizzato per identificare un dispositivo.
Microsoft ha poi fornito queste informazioni a terze parti.
Come l’FBI ha utilizzato le informazioni fornite da Microsoft
Questa prova da sola non era sufficiente per connettere il crimine a Stokes, ma conoscere il GDID ha fornito all’FBI una cronologia degli indirizzi IP a cui il suo dispositivo aveva effettuato l’accesso nel tempo. Per dimostrare che quegli IP appartenessero specificamente a Peter Stokes, gli investigatori hanno incrociato questa cronologia di IP con i login ad account noti per essere suoi, tra cui Apple, Snapchat, Facebook e il login del suo gioco Growtopia.
Connettere il GDID ad account noti per appartenere a Stokes ha aiutato a dimostrare che il GDID utilizzato per hackerare il gioielliere apparteneva a un dispositivo di proprietà di Stokes, secondo la denuncia.
Il fatto che uno degli indirizzi IP identificati in questo modo appartenesse a un hotel di New York che, secondo gli investigatori, corrisponde all’interno visibile in un selfie di Snapchat che mostra Stokes mentre si copre il viso con una mazzetta di banconote da 100 dollari, difficilmente aiuterà il suo caso.
Cosa significa questo per il resto di noi?
La prima cosa da sottolineare è che, in questo caso, il sistema ha funzionato come previsto.
Stokes deve rispondere di accuse tra cui associazione a delinquere, intrusione informatica e frode legata a oltre 100 milioni di dollari in pagamenti di riscatti in più di 100 intrusioni aziendali dal 2022. L’uso dei dati Microsoft da parte dell’FBI rientra nei quadri giuridici che richiedono mandati giudiziari e citazioni in giudizio.
Ma il GDID solleva importanti interrogativi sul consenso dell’utente e su chi possieda effettivamente l’hardware che paghi. Non ti viene mai chiesto di accettare il GDID sul tuo dispositivo e non esiste un modo semplice per rimuoverlo. Anche reinstallare completamente Windows è solo una soluzione parziale.
In tutta l’ampia documentazione online di Microsoft, GlobalDeviceId merita un’unica menzione sepolta(nuova finestra) in un documento tecnico altamente oscuro che difficilmente qualcuno leggerà mai.
È vero, tuttavia, che anche tutti gli altri principali sistemi operativi commerciali, come macOS, Android e iOS, possono quasi certamente identificare in modo univoco i dispositivi presso i rispettivi produttori. La cosa spiacevole è che la maggior parte di noi si limita ad accettare questa situazione.
Per chi non lo fa, l’unico modo pratico per evitare questo problema è utilizzare sistemi operativi open source, come Linux.
