Microsoft가 Windows Device ID로 사용자를 추적할 수 있음

5 hours ago 2

Scattered Spider 관련 혐의를 받는 19세 Peter Stokes 사건에서 FBI가 Microsoft의 Global Device ID(GDID) 기록으로 Windows PC와 온라인 활동을 연결한 사실이 드러남
GDID는 Windows 설치를 Microsoft 서비스와 시나리오 전반에서 식별하는 지속적 기기 수준 식별자로, 물리 기기와 가상 머신 모두에 적용될 수 있음
형사 고소장에는 2025년 5월 12일 19:21 UTC에 Stokes의 컴퓨터와 연결된 GDID가 ngrok 가입 페이지와 Tzulo 서버의 여러 사이트에 접근한 기록이 포함됨
GDID는 Windows 업데이트 후에도 유지되지만 재설치하면 새 값으로 바뀌며, 한 Microsoft 사용자가 여러 GDID를 가질 수 있음
이 사건은 제3자 브라우저 쿠키 없이도 Windows PC의 온라인 활동이 추적될 수 있다는 우려를 키웠고, 일부 사용자는 GDID 확인·제거 방법을 찾기 시작함

체포 사건에서 드러난 GDID 활용

미국은 유럽에서 19세 Peter Stokes를 송환했으며, 그는 해킹 그룹 Scattered Spider의 일원이라는 혐의를 받음
공개된 형사 고소장에서 Microsoft 기록은 Stokes를 의심되는 해킹 범죄와 연결하는 핵심 단서로 쓰임
Stokes는 2025년 5월 이름이 공개되지 않은 고급 보석 소매업체를 해킹한 혐의를 받으며, 당시 VPN을 사용한 것으로 기록됨
FBI는 Microsoft 기록을 통해 그의 IP 주소가 Global Device ID(GDID) 라는 Microsoft 기기 식별자와 연결돼 있음을 확인함

고소장에 인용된 Microsoft 측 설명에서 GDID는 Windows 생태계의 지속적 기기 수준 식별자로 정의됨
이 식별자는 Windows 운영체제 설치를 고유하게 구분하도록 설계됨
- 노트북이나 휴대폰 같은 물리 기기가 대상이 될 수 있음
- 가상 머신도 포함됨
- 특정 Microsoft 서비스와 시나리오 전반에서 사용됨
계정이나 기기에 고유 ID를 부여하는 관행은 일반적이지만, 이번 사건에서는 GDID가 제3자 서비스 접근 기록과 시점까지 연결될 수 있음이 드러남

Stokes는 보석 소매업체의 네트워크 방어를 우회하기 위해 웹 개발 도구 ngrok를 악용한 혐의를 받음
Microsoft 기록에는 2025년 5월 12일 19:21 UTC에 Stokes의 컴퓨터와 연결된 GDID가 https://dashboard[.]ngrok.com/signup에 접근한 것으로 남아 있음
- 해당 URL은 ngrok 계정을 설정하는 페이지임
- 같은 GDID는 다른 ngrok 페이지에도 접근한 것으로 기록됨
문서에는 이 GDID가 해킹 실행을 돕기 위해 웹 호스팅 제공업체 Tzulo의 서버에서 “여러 사이트”에 접근했다는 내용도 포함됨
고소장에 표시된 Stokes PC의 GDID는 6755467234350028임

연방 수사관이 Microsoft 식별자로 의심되는 해커를 특정했다는 점 때문에 감시 목적 남용 우려가 커짐
사이버보안 전문가 Matthew Hickey는 X에서 “Microsoft Windows is surveillance software”라고 주장함
GDID는 Microsoft의 한 지원 페이지에 짧게 언급되어 있지만, Microsoft는 그 외에 공개적으로 설명하지 않은 상태임
일부 사용자는 GDID 식별자를 제한하거나 삭제하는 방법을 탐색하기 시작함

고소장에 따르면 GDID는 같은 기기의 Windows 운영체제 업데이트 후에도 유지됨
Windows를 같은 기기나 다른 기기에 재설치하면 새 고유 GDID가 연결됨
고소장 각주는 한 Microsoft 사용자가 여러 GDID를 가질 수 있다고 밝힘
사이버보안 연구자 Costin Raiu는 고유 식별자 사용을 근거로 다른 기술 기업도 유사한 감시 능력을 갖는지 질문함
- Apple 기기에서도 같은 규모로 발생하는지
- 재설치와 무관하게 하드웨어에 묶이는 수준인지
- 완전한 익명성을 원하면 개발 환경에서 Linux, FreeBSD 등을 쓰고 프록시, Tor, VPN 등을 통할 필요가 있을 수 있다고 말함