Microsoft, Windows 기기 ID로 사용자 추적 가능

• 체포 사건으로 드러난 Windows Global Device ID 추적성

  • 19세 해커가 유럽에서 미국으로 송환되며 Microsoft의 Windows PC 식별·온라인 활동 추적 가능성이 부각됨

    • 악명 높은 해킹 그룹 Scattered Spider 구성원 혐의

    • 공개된 형사 고소장 기준, Microsoft가 의심 해킹 범죄와 피의자를 연결하는 핵심 역할을 함

    • 쉬운 opt-out이 없어 보이는 Global Device ID를 둘러싼 감시 우려 발생

• VPN 사용 중에도 Microsoft 기록으로 식별된 정황

  • 2025년 5월, 이름이 공개되지 않은 고급 보석 소매업체 해킹 혐의

    • 당시 VPN 사용

    • 39쪽 형사 고소장 기준, FBI가 Microsoft 기록으로 IP 주소와 Global Device ID 연결 확인

  • 고소장 내 Microsoft 측 설명: Global Device Identifier는 Windows 생태계의 지속적 기기 단위 식별자

    • 물리 기기 또는 가상 머신의 Windows 설치를 고유하게 식별하도록 설계

    • 특정 Microsoft 서비스와 시나리오 전반에서 사용

• GDID가 제3자 서비스 접속 시점과 연결된다는 점이 핵심 우려

  • 계정·기기별 고유 ID 부여 자체는 일반적인 기술 관행임

    • 기술 제공자가 계정·기기를 인식하고 구분하기 위한 방식

    • 다만 고소장은 Microsoft가 GDID를 제3자 서비스와 접속 시점에 연결할 수 있음을 드러냄

    • 제3자 브라우저 쿠키 없이도 Windows PC의 온라인 활동 추적이 이론상 가능하다는 의미

• ngrok 접속 기록과 호스팅 서버 활동이 해킹 정황으로 제시됨

  • 보석 소매업체 네트워크 방어 우회에 웹 개발 도구 ngrok 악용 혐의

    • Microsoft 기록상 2025년 5월 12일 19:21 UTC에 해당 GDID가 https://dashboard.ngrok.com/signup 등 ngrok 페이지 접속

    • 해당 페이지는 ngrok 계정 설정용 페이지

  • Microsoft 기록에는 해당 GDID가 웹 호스팅 제공업체 Tzulo 서버에서 “multiple sites”에 접속한 내용도 포함

    • 해킹 수행을 돕는 활동으로 제시됨

• 수사 활용과 감시 남용 가능성 논란

  • 피의자 PC의 GDID는 6755467234350028로 제시됨

    • 연방 수사기관이 Microsoft 식별자로 의심 해커를 특정했다는 점에서 다른 감시 목적 남용 우려 제기

    • 한 보안 전문가는 “마이크로소프트 윈도우는 감시 소프트웨어입니다”라고 비판

• GDID 재설정은 가능하지만 쉽지 않은 구조

  • 기기 ID는 Microsoft 지원 페이지에 짧게 언급됨

    • 형사 고소장 기준, Windows 사용자가 GDID를 직접 재설정할 수는 있으나 쉽지 않음

  • 법원 문서 기준, GDID는 기기의 Windows 운영체제 업데이트 전반에서 유지됨

    • 같은 기기 또는 다른 기기에 Windows를 재설치하면 새 고유 GDID와 연결

    • 각주: 한 Microsoft 사용자가 여러 GDID를 가질 수 있음

• 새 GDID와 기존 GDID 연결 가능성 및 회피 시도

  • 새로 설정된 GDID도 기존 GDID와 연결하기 어렵지 않을 수 있다는 추정

    • Microsoft 계정 로그인, IP 주소 등 다른 식별자를 대조할 수 있기 때문

    • 감시 가능성에 대응해 일부 사용자는 GDID를 격리·삭제하는 방법을 이미 탐색

• 다른 플랫폼의 유사 식별자 감시 가능성까지 제기됨

  • 고유 식별자 사용을 고려하면 다른 기술 기업도 같은 감시 능력을 갖췄는지 의문 제기

    • 한 보안 연구자는 Apple 기기에서도 같은 규모 또는 더 높은 수준으로 발생하는지, 재설치와 무관한 하드웨어 기반 연결인지 질문

    • Three Buddy Problem 팟캐스트 발언: Microsoft만의 일이 아닐 가능성이 높음

    • 완전한 익명성이 필요하면 개발 환경에 Linux, FreeBSD 등을 쓰고 모든 트래픽을 프록시, Tor, VPN 등으로 터널링해야 할 수 있음

^{source https://www.pcmag.com/news/a-hackers-arrest-reveals-microsoft-can-track-users-via-a-windows-device}

HN에서는 Windows에 기기 식별자가 있다는 사실 자체보다, 그 식별자가 어디까지 흘러가고 어떤 데이터와 결합되는지가 핵심 쟁점으로 다뤄졌다. 운영체제나 브라우저가 로컬 식별자를 갖는 일은 낯설지 않지만, Microsoft가 이를 네트워크 활동 기록과 연결해 특정 시점의 사이트 접근까지 제시했다면 성격이 달라진다는 것이다.

기술적으로는 아직 확인해야 할 부분이 많다는 의견도 적지 않았다. 일부는 Defender, MAPS, 텔레메트리, Edge 설정, DNS 조회, 창 제목, 외부 분석 스크립트 등 여러 가능성을 짚었지만, Chrome이나 Firefox에서 모든 URL이 Microsoft로 전달된다고 단정할 근거는 부족하다고 봤다. 그래서 패킷 분석이나 설정별 재현 실험이 필요하다는 반응이 이어졌다.

동시에 이 사안은 Windows만의 문제로 좁혀지지 않았다. Linux의 systemd machine-id나 D-Bus 식별자, Android의 기기 ID처럼 현대 플랫폼 전반에 비슷한 장치가 있다는 지적이 나왔다. 차이는 식별자의 존재가 아니라 접근 권한, 전송 여부, 계정 정보와의 결합, 사용자가 끌 수 있는지에 있다. 몇몇 사용자는 ID를 주기적으로 바꾸거나 브라우저를 격리하는 방법을 논의했지만, 식별 가능성을 완전히 없애기는 어렵다는 현실론도 함께 나왔다.

결국 “식별자가 있느냐”가 아니라 “누가, 어떤 조건에서, 어떤 목적으로 그것을 원격 기록과 연결하느냐”가 중요하다. 기업이나 개인 사용자는 운영체제와 보안 제품의 진단 데이터 설정, 브라우저의 활동 공유 옵션, 계정 로그인 상태, 관리형 단말 정책을 함께 확인해야 한다. 특히 민감한 업무 환경이라면 편의 기능과 보안 텔레메트리가 남기는 추적 가능성을 별도의 위험 요소로 다뤄야 한다.