Se utiliza o Windows, está provavelmente(nova janela), pelo menos(nova janela), vagamente consciente(nova janela) de que o seu portátil o está a espiar(nova janela). Esta semana, recebemos um lembrete concreto de quão invasivo(nova janela) para a privacidade(nova janela) o ubíquo sistema operativo da Microsoft realmente é.
Peter Stokes, um jovem de 19 anos suspeito de ser membro do célebre grupo criminoso de pirataria informática Scattered Spider(nova janela), foi extraditado da Finlândia para os Estados Unidos e acusado de pirataria informática contra a “Company F, uma retalhista de joias de luxo”.
O que torna o caso interessante, no entanto, é a forma como ele foi apanhado.
O Windows como spyware
De acordo com a queixa-crime(nova janela) do FBI, Stokes utilizou uma VPN para ocultar a sua atividade online. Esta é amplamente considerada uma opção sensata, visto que uma VPN oculta o seu endereço IP real dos sítios web que visita e a sua atividade online do seu ISP. No entanto, ele cometeu um erro de principiante fatal: utilizou o Windows.
As autoridades identificaram Stokes através de registos da Microsoft que ligavam o seu computador ao uso suspeito do ngrok, uma ferramenta de tunelamento de desenvolvimento web que foi utilizada para “contornar as defesas de rede da Company F e ativar a possibilidade de aceder de forma persistente e não autorizada ao centro de dados da Company F”.
A Microsoft conseguiu identificar o computador de Stokes graças ao seu Global Device Identifier (GDID), um “identificador ao nível do dispositivo concebido para identificar de forma única a instalação de um sistema operativo Windows num dispositivo”.
Por outras palavras, cada instalação do Windows tem um GDID que a Microsoft pode utilizar para identificar um dispositivo (incluindo dispositivos virtuais) e para recolher telemetria(nova janela). Reinstalar o Windows cria um novo GDID para esse dispositivo, mas não apaga o antigo dos sistemas da Microsoft, pelo que ainda pode ser utilizado para identificar um dispositivo.
A Microsoft entregou então esta informação a terceiros.
Como o FBI utilizou as informações fornecidas pela Microsoft
Estas provas, por si só, não eram suficientes para ligar o crime a Stokes, mas conhecer o GDID deu ao FBI um histórico de endereços IP a que o seu dispositivo tinha acedido ao longo do tempo. Para provar que esses IPs pertenciam especificamente a Peter Stokes, os investigadores cruzaram este histórico de IPs com os inícios de sessão em contas conhecidas como sendo suas, incluindo a Apple, o Snapchat, o Facebook e o seu início de sessão no jogo Growtopia.
Ligar o GDID a contas que se sabia pertencerem a Stokes ajudou a provar que o GDID utilizado para piratear a joalharia pertencia a um dispositivo de Stokes, de acordo com a queixa.
O facto de um dos endereços IP identificados desta forma pertencer a um hotel de Nova Iorque que, segundo os investigadores, corresponde ao interior visível numa selfie do Snapchat que mostra Stokes a cobrir o rosto com um maço de notas de 100 dólares, não deverá ajudar o seu caso.
O que significa isto para os restantes de nós?
A primeira coisa a salientar é que, neste caso, the system worked as intended.
Stokes enfrenta acusações que incluem conspiração, intrusão informática e crimes de fraude associados a mais de 100 milhões de dólares em pagamentos de resgate em mais de 100 intrusões corporativas desde 2022. A utilização de dados da Microsoft pelo FBI enquadra-se em regimes jurídicos que exigem ordens judiciais e intimações.
Mas o GDID levanta questões importantes sobre o consentimento do utilizador e sobre quem é realmente o proprietário do hardware pelo qual paga. Nunca lhe é solicitado que aceite o GDID no seu dispositivo, e não existe uma forma fácil de o remover. Mesmo a reinstalação completa do Windows é apenas uma solução parcial.
Em toda a extensa documentação online da Microsoft, o GlobalDeviceId merece uma única menção, enterrada(nova janela) num documento técnico altamente obscuro que é pouco provável que alguém venha a ler.
É verdade, no entanto, que todos os outros principais sistemas operativos comerciais, como o macOS, o Android e o iOS, também conseguem quase de certeza identificar de forma única os dispositivos perante os seus fabricantes. O aspeto lamentável é que a maioria de nós simplesmente aceita esta situação.
Para quem não o faz, a única forma prática de o evitar é utilizar sistemas operativos de código aberto, como o Linux.
