Případ devatenáctiletého Petera Stokese není zajímavý jen tím, že podle amerických úřadů patřil ke kyberzločinecké skupině Scattered Spider. Mnohem větší pozornost vyvolal způsob, jakým se ho podařilo propojit s útokem na luxusního prodejce šperků. Podle trestního oznámení sehrály důležitou roli záznamy Microsoftu a identifikátor označovaný jako Global Device ID, zkráceně GDID.

Ani VPN nemusela stačit

Americké ministerstvo spravedlnosti uvedlo, že Stokes, občan USA a Estonska, byl zatčen ve Finsku a vydán do Spojených států. Čelí obvinění ze spiknutí, počítačového průniku a podvodu. Vyšetřovatelé ho spojují s útokem z května 2025, který mířil na nejmenovaného luxusního prodejce šperků. Firma podle spisu obdržela požadavek na výkupné ve výši zhruba 8 milionů dolarů v kryptoměně. Výkupné nezaplatila, ale škody, vyšetřování a obnova systémů ji měly stát nejméně 2 miliony dolarů.

Skupina Scattered Spider je dlouhodobě spojovaná s útoky na velké firmy, sociálním inženýrstvím, krádežemi přístupů a vydíráním. V tomto případě měla být jednou z důležitých stop služba ngrok, která se používá k vytváření zabezpečených tunelů k lokálním nebo interním službám. Sama o sobě je legitimní, vývojáři ji běžně používají při testování webů a aplikací. Podle vyšetřovatelů ji ale útočníci využili k obcházení obrany napadené sítě.

Účet ngrok měl být založen z IP adresy spojené s VPN proxy serverem společnosti Tzulo v Illinois. To by za normálních okolností mohlo identifikaci výrazně zkomplikovat. Jenže podle trestního oznámení Microsoft evidoval, že ve stejný čas k registrační stránce ngroku přistoupilo zařízení s konkrétním identifikátorem GDID. Právě tím se z běžné technické stopy stal důkazní článek, který mohl propojit online aktivitu s konkrétní instalací Windows.

Zdroj: Shutterstock

Otisk instalace Windows

Soudní dokument popisuje Global Device ID jako perzistentní identifikátor na úrovni zařízení. V ekosystému Windows má sloužit k jednoznačnému rozlišení konkrétní instalace operačního systému napříč vybranými službami a scénáři Microsoftu. Důležité je, že identifikátor má přežít běžné aktualizace Windows. Nové GDID vzniká až při nové instalaci systému.

To je podstatný rozdíl proti běžné cookie v prohlížeči, kterou uživatel smaže několika kliknutími. GDID je hlubší technická vrstva svázaná s operačním systémem. Podle trestního oznámení může mít jeden uživatel více těchto identifikátorů, pokud používá více instalací Windows nebo systém přeinstaluje. Zároveň ale zůstává otázkou, jak snadno může Microsoft nově vzniklé GDID spojit se starším identifikátorem pomocí dalších údajů, například přihlášení k účtu, IP adresy nebo jiné telemetrie.

Bezpečnostní komunita proto reaguje velmi ostře. Na jedné straně je pochopitelné, že velké technologické firmy používají telemetrii a identifikátory k ochraně služeb, odhalování škodlivého provozu, podvodů nebo opakovaného zneužívání účtů. V tomto případě taková data pomohla vyšetřovatelům v kauze závažné kyberkriminality. Na druhé straně ale případ ukazuje, že operační systém může v určitých situacích spojovat konkrétní zařízení s aktivitou na internetu i mimo samotné služby Microsoftu.