Windows 11には「GDID（Global Device Identifier）」という、Microsoft内部で使われる端末識別子があります。米司法省が2026年7月1日に公開した刑事事件の訴状で、VPNを経由した端末の活動を同じ端末として結び付ける材料になったことが分かり、「VPNでも隠せない指紋」として話題になりました。
ただし、GDIDが訪問先のWebサイトにそのまま渡り、どのサイトからでも個人を追跡できるわけではありません。今回見えたのは、Microsoft側にある記録を、捜査機関がほかの事業者の記録と時刻・IPアドレスで照合した事例です。怖がりすぎず、収集範囲の説明不足も見過ごさずに整理します。
- GDIDは実在する。Windowsのインストール単位に結び付く、Microsoft内部の永続的な端末ID
- Windows Updateでは変わらず、再インストールでは新しいIDになる。GDID単体をオフにする一般向け設定は公開されていない
- 訪問先サイトがGDIDを直接読む仕組みではない。サイト側が通常見られるIP・Cookie・ブラウザ指紋とは別物
- 今回はMicrosoftの記録と、ngrok・Googleなど複数社の記録を捜査機関が突き合わせた
- 今日から新しい追跡が始まったわけではない。ただしMicrosoftの消費者向け説明が極端に少ない点は正当に批判できる
何が話題になった？ FBI資料でGDIDの使われ方が見えた
新しい追跡機能が追加されたニュースではなく、既存の識別子が捜査でどう使われたかが訴状で具体化したニュースです。
米司法省は7月1日、犯罪ハッキング集団「Scattered Spider」のメンバーとされるPeter Stokes被告について、フィンランドでの逮捕・米国への移送を発表しました。訴状上の主な容疑は、米国の高級宝飾品販売会社への不正侵入やデータ窃取、約800万ドルの身代金要求です。訴状は捜査段階の主張であり、有罪が確定したわけではありません。
事件では、攻撃に使われたngrokアカウントが2025年5月12日19時21分（UTC）にVPNプロキシのIPアドレスから作られていました。訴状によると、同じ時刻に特定のGDIDを持つ端末がngrokの登録ページへアクセスしていたというMicrosoft記録がありました。
VPNは接続先から見える送信元IPを変えます。しかし、OSやアプリがMicrosoftへ送る記録に同じ端末IDが付く場合、その端末であることまではVPNだけで変わりません。今回のポイントは「VPNが破られた」ことではなく、IPとは別の識別情報がMicrosoft側にあったことです。
GDIDとは何か——Windowsの「インストール単位の管理番号」
GDIDは、広告会社がWebサイト横断で使うCookieとは違い、Microsoftが自社サービス内で端末を区別するための識別子です。
司法省の39ページの訴状PDFでは、Microsoft担当者の説明として、GDIDを次のように整理しています。
- 物理端末または仮想マシン上のWindowsインストールを一意に識別する、永続的な端末レベルのID
- Windows Updateを重ねても同じIDが維持される
- Windowsを再インストールすると、新しいGDIDに結び付く
- 1人のMicrosoftユーザーが複数のGDIDを持つ場合がある
Microsoft公式のAzure Monitor資料にも、GlobalDeviceIdという列があり、説明は「Microsoft内部のGlobal Device Identifier」という1文だけです。存在自体は公式資料でも確認できますが、一般利用者向けに目的・生成条件・送信範囲を説明したページではありません。
誤解解きの本丸：GDIDは誰に見える？
訪問先サイト・Microsoft・捜査機関を、3つの層に分けると誤解が解けます。
| 層 | 通常見えるもの | GDIDとの関係 |
|---|---|---|
| 訪問先サイト | 接続元IP、Cookie、ログインID、ブラウザ情報 | 訴状・Microsoft資料に「サイトへGDIDを直接渡す」との記載はない |
| Microsoft | Windows診断データ、自社サービスの利用記録、端末ID | GDIDはMicrosoft内部の識別子として使われる |
| 捜査機関 | 事業者から得た記録、押収物、旅券・移動記録など | 今回事案ではGDID付きMicrosoft記録を他社記録と照合 |
Webサイトが使う「ブラウザ指紋」は、画面サイズ・フォント・ブラウザ機能などを組み合わせて同じ利用者らしさを推測する別の技術です。GDID＝あらゆるサイトに丸見えのブラウザ指紋ではありません。
ただし、Microsoftの公式資料では、オプションの診断データに閲覧したWebサイトに関する情報が含まれる場合があると説明しています。Stokes被告の端末で、どのWindows機能が各URLをMicrosoftへ送ったのかは訴状に書かれておらず、報道でも特定できていません。
あなたへの影響：日常のネット利用は今日から変わらない
今回の公表でWindowsに新しい機能が追加されたわけではありません。一般利用者のWebサイト閲覧が、7月から急に訪問先へ筒抜けになったわけでもありません。
一般利用者がニュースを見て、VPNを解約したり、Windowsを慌てて初期化したりする必要はありません。再インストールでGDIDは変わると訴状にありますが、プライバシー対策として初期化を勧める根拠にはなりません。
一方で、「自分の端末とWebアクセスがMicrosoft側でどこまで関連付けられるのか」は正当な疑問です。犯罪捜査で目的どおり機能した例と、一般利用者への説明責任は両立する論点です。
できること・できないこと——紐づく情報を減らす
GDIDそのものを消す設定ではなく、Microsoftへ送る追加情報やアカウントとの結び付きを減らす一般的なプライバシー設定です。
- オプションの診断データをオフ：設定 → プライバシーとセキュリティ → 診断とフィードバックで、「オプションの診断データを送信する」をオフにします。Microsoftは、必須データだけでもWindowsの安全性と通常動作は保たれると説明しています。
- ローカルアカウントを検討：設定 → アカウント → ユーザーの情報から切り替えられます。Microsoftアカウントの同期やOneDriveなどの利便性が下がるため、利用目的を確認して選ぶ設定です。
- 広告ID・おすすめ表示を見直す：設定 → プライバシーとセキュリティ内の「全般」や「おすすめとオファー」で、個人向け広告・提案に使う項目を確認します。
本当に問題なのは、Microsoftの説明が少なすぎること
GDIDの存在よりも、一般利用者が目的・生成条件・送信範囲を理解できる公式説明がほぼないことが問題です。
Azureの技術資料は、一般のWindows利用者がプライバシー設定を判断するための説明書ではありません。GDIDがWindows Updateをまたいで維持され、URLアクセス記録と結び付いた事例があるなら、Microsoftは少なくとも次を明示すべきです。
- いつ、どの条件でGDIDが発行されるか
- 必須・オプションのどのデータに付くか
- URL情報が送られる具体的な条件
- ローカルアカウント時に何が変わるか
- 保存期間、利用目的、法執行機関への提供方針
「犯罪者の逮捕に役立ったから問題なし」でも、「Windowsはすべてのサイトを常時監視するスパイウェアだ」でもなく、役割に必要な識別子なら、利用者が理解できる形で説明し、選べる範囲を示すべきというのが妥当な着地点です。
確定・報道・未確定を整理
- 確認済み GDIDはMicrosoft内部の端末識別子として実在し、訴状ではWindowsインストール単位に結び付き、更新後も維持・再インストールで新IDになると説明されています。
- 確認済み 今回事案では、Microsoft記録にGDID・アクセス先・時刻・IPの関連があり、複数事業者の記録と照合されました。
- 報道段階 Microsoftアカウントへのサインイン時にサーバーから識別子が付与されるという技術解説がありますが、Microsoftの一般向け公式説明では確認できません。
- 未確認 どのWindows機能が今回の各URLを送信したのか、必須診断データだけの端末でも同じ粒度になるのかは公表されていません。
- 未確認 今後Microsoftが一般向け説明や制御設定を追加するかは分かりません。
まとめ
「VPNでも隠せない指紋」という見出しは、IPとは別の識別子が残る点では正しい一方、あらゆるサイトに同じ番号が丸見えという印象なら誤解です。GDIDを怖がりすぎず、説明不足はきちんと問う。その両方が必要です。