WindowsのGDIDが捜査の手掛かりに　端末識別子の仕組みとプライバシー

Scattered Spiderのメンバーとされる19歳がフィンランドで逮捕・米国へ移送された。決め手はWindowsに埋め込まれた識別子GDIDで、VPNの裏側にいた人物を特定した。

空港で止められた19歳

2026年4月10日、ヘルシンキ空港。日本行きの便に搭乗しようとしていた若者が、フィンランド警察に拘束された。

ピーター・ストークス（Peter Stokes）、19歳。米国とエストニアの二重国籍を持つ。インターポールの赤手配書に基づく逮捕だった。所持品の中には2台のハードドライブがあり、後に捜査上の証拠として扱われることになる。

ストークス氏の身元は2024年の時点で当局に把握されていた。エストニアとアラブ首長国連邦を行き来していたが、当時は未成年であり、監視にとどまっていた。成人後、赤手配書が発行された。

6月末に米国へ移送され、6月30日にシカゴの連邦裁判所で初出廷。共謀、コンピュータ侵入、詐欺の3つの罪で起訴されている。オンラインでは「ブーケ」「スペンサー」「ジョーダン」というハンドル名を使っていた。

Scattered Spiderという集団

米司法省によると、Scattered Spider（別名Octo Tempest、UNC3944、0ktapus）は100件以上のネットワーク侵入に関与し、身代金の支払い総額は1億ドルを超える。

特異なのは構成員の年齢と手口だ。メンバーの大半は10代から20代前半の英語ネイティブで、米国と英国を中心に緩やかにつながっている。ソフトウェアの脆弱性ではなく、ITヘルプデスクへの電話やSMSフィッシング、SIMスワッピングといった手口で企業のネットワークに入り込む。2023年のMGMリゾーツとシーザーズ・エンターテインメントへの攻撃で広く知られるようになった。

ストークス氏に対する起訴の中心は、2025年5月の米国の高級宝飾品小売業者に対する攻撃だ。裁判書類によると、攻撃者はGoogle Voiceを使って小売業者のITヘルプデスクに電話し、従業員になりすましてパスワードと多要素認証デバイスのリセットを要求した。管理者権限を含む複数のアカウントが侵害された。

データを窃取した上で約800万ドルの暗号通貨による身代金を要求したが、小売業者のセキュリティ担当者がネットワークから攻撃者を排除し、支払いには応じなかった。身代金は払われなかったものの、事業中断と対応にかかった損害は200万ドル以上にのぼる。

ストークス氏にはこの事件を含め、少なくとも4件の不正アクセスへの関与が疑われている。最初の事件は2023年3月、16歳の時のものだ。

VPNの先にあった「指紋」

この事件で最も注目されたのは、FBIがどうやってVPNの向こう側にいたストークス氏を特定したかだ。

裁判書類によると、Microsoftがストークス氏の使用していたWindowsのGDID（Global Device Identifier）をFBIに提供した。GDIDはWindowsインストール時にOSへ割り当てられる固有の識別子で、再インストールしない限り変わらない。診断データの送信やライセンス管理に使われている。

ストークス氏はVPN経由でngrok（ローカル環境をインターネットに公開するトンネリングサービス）のアカウントを作成していた。VPNによってIPアドレスは隠されていたが、GDIDはVPNに関係なくMicrosoftのテレメトリとして送信される。

FBIの宣誓供述書によると、Microsoftのサイバーセキュリティ研究者は業務上、端末のID、IPアドレス、マルウェアサンプルなどのデータにアクセスできる。Microsoftはこのデータを犯罪照会としてFBIに提供し、ngrokアカウント作成時のGDIDとIPアドレスが一致することを示した。

捜査官はさらにGDIDに紐づくIPアドレスの履歴を調べ、タリン、ニューヨーク、タイからの接続記録を発見。Snapchat、Apple、Facebookの各アカウントのログイン時刻と突き合わせると、数分以内に同じIPアドレスからのアクセスが繰り返し一致した。ストークス氏のSnapchatには、海外旅行中に高級ホテルに滞在する写真が投稿されていた。

GDIDの記録がVPNの匿名性を無効化し、複数のサービスの記録を同一人物に結びつけた。

すべてのWindows PCにある識別子

この事件をきっかけに、GDIDの存在がセキュリティ業界で改めて議論の対象になっている。

vx-undergroundの投稿は裁判書類からGDIDに関する記述を抜き出し、「GDIDはインターネット活動、ウェブ閲覧、ゲーム履歴、タイムスタンプをMicrosoftに報告している」「公式ドキュメント上ではAzure MonitorのUCDOStatusという1つのテーブルにしか記載されていない」と指摘した。

この投稿の解釈には注意が必要だ。セキュリティ研究者のDark Web Intelligenceは、裁判書類にはGDIDがウェブ閲覧履歴やゲーム履歴のすべてをMicrosoftに送信しているとは書かれていないと指摘している。FBIの宣誓供述書では、Microsoftの情報と、ngrok、Snapchat、Apple、Facebookなど複数の事業者から取得した記録を突き合わせることで本人特定に至っている。GDIDだけですべてが判明したわけではない。

それでも、GDIDがWindowsのすべてのインストールに存在し、VPNを使っても送信が止まらず、ユーザーが簡単に無効化できないという事実は残る。Windowsのテレメトリに対する批判は長く続いてきたが、その内容がどこまで詳細なのかが法廷文書を通じて垣間見えたのは初めてに近い。

包囲網が狭まるScattered Spider

ストークス氏の逮捕はFBIの「オペレーション・リップタイド」（Operation Riptide）の一環だ。サイバー犯罪の実行者、インフラ、資金ネットワークを標的とする作戦で、2025年に米国でのサイバー犯罪被害額が200億ドルを超えたことを受けて立ち上げられた。前年比26%の増加だった。

Scattered Spiderへの捜査は2026年に入って急速に動いている。2026年4月、スコットランド出身のタイラー・ブキャナン氏（Tyler Buchanan、24歳）が米国の連邦裁判所で有罪を認めた。2022年のSMSフィッシング攻撃を主導し、少なくとも800万ドル相当の暗号通貨を窃取した罪で、量刑は2026年8月に予定されている。最大22年の禁固刑に直面する。

フロリダ出身のノア・アーバン氏（Noah Urban）は2025年8月に懲役10年の判決を受け、約1,300万ドルの賠償を命じられた。

英国では2026年6月、ロンドン東部のタルハ・ジュバイル氏（Thalha Jubair、20歳）とウォルソールのオーウェン・フラワーズ氏（Owen Flowers、18歳）が、2024年のロンドン交通局（TfL）へのサイバー攻撃に対する罪を認めた。初公判の当日に有罪答弁に転じている。

2022年から2024年にかけて企業ネットワークへの攻撃を繰り返しながら匿名性を保っていた集団の構成員が、次々と法廷に立たされている。ブキャナン氏は自分のIPアドレスでドメインを登録するという運用上のミスで発覚し、ストークス氏はWindowsのテレメトリで特定された。

10代の構成員が入れ替わりながら活動を続ける緩やかな集団に対して、従来の犯罪組織への捜査手法がどこまで有効かは定かでない。ただ、メンバーが使っていたOSそのものが捜査の武器になったという事実は、この集団に限った話ではない。

関連記事

• Windows 11「勝手にアカウント、勝手に暗号化」問題の本質
• GitHub CLIがテレメトリ収集を開始、デフォルト有効
• BlueHammer、ランサムウェアに転用。CISAが警告
• Windows 10延長サポート、1年追加で2027年10月まで
• AI生成の性的画像で大学生を脅迫した疑い　米司法省が男を連邦起訴
• 6月の月例更新で、ごみ箱が「中身」を見せてしまう
• Windows 11検索のBingオフ、Microsoftが公式確認。速度も上がる
• セキュアブート証明書、期限目前に大規模配信へ
• Windows 11の6月更新KB5094126で起動不能。修正が配信
• FBIがサイバー犯罪訓練用の「街」を建設。病院も発電所もある