A discussão sobre como metadados podem ser usados para chegar à identidade de um hacker voltou ao foco com um detalhe técnico pouco conhecido: um identificador persistente atrelado a instalações do Windows, utilizado internamente pela Microsoft. Esse ID, em tese pensado para fins de telemetria, suporte e gestão de dispositivos, acabou aparecendo como peça importante em uma investigação criminal nos Estados Unidos, reacendendo o debate sobre privacidade, rastreabilidade e o poder das grandes empresas de tecnologia em conectar pontos dispersos.
O caso ganhou projeção depois que um vídeo do canal Linus Tech Tips analisou documentos judiciais de um processo ligado ao grupo Scattered Spider, conhecido por ataques de engenharia social, roubo de dados corporativos e extorsão. No vídeo, intitulado “Maybe It’s Time to Leave Windows”, o apresentador mostra como um identificador técnico associado ao Windows teria ajudado autoridades a vincular um computador específico a um suspeito de participar de um ataque contra uma varejista de joias de luxo.
É importante separar percepções exageradas da realidade técnica. Esse identificador – referenciado em documentos como Global Device Identifier (GDID ou GlobalDeviceId) – não é um “rastreador público” visível para qualquer site ou serviço na internet, nem algo que automaticamente expõe tudo o que o usuário faz online. Ele é usado, segundo a própria Microsoft, em serviços corporativos de telemetria, gerenciamento de atualizações e administração de parque de máquinas, funcionando como um “RG interno” do dispositivo para a empresa.
O ponto central, porém, não é a existência isolada do identificador, mas como ele pode ser combinado com outros registros mantidos por provedores de serviços durante uma investigação. Quando esse tipo de dado é cruzado com horários de acesso, endereços IP, contas de usuário, serviços em nuvem e outros metadados, passa a ser possível demonstrar que diferentes ações – realizadas em momentos, locais e redes distintos – partiram do mesmo ambiente Windows.
Nos autos do processo analisado, o campo GlobalDeviceId aparece como um desses componentes. Ele seria vinculado a uma instalação específica do Windows, tende a sobreviver a várias atualizações do sistema operacional e, em muitos casos, só muda com uma reinstalação completa do Windows. Esse comportamento permite que a Microsoft reconheça que acessos aparentemente desconectados, vindos de diferentes redes, foram originados do mesmo dispositivo ou instalação.
O caso Peter Stokes e o ataque à joalheria de luxo
A polêmica ganhou corpo a partir do processo contra Peter Stokes, cidadão com nacionalidade norte-americana e estoniana, acusado de participar de um ataque a uma grande varejista de joias de luxo em maio de 2025. Segundo a denúncia federal, o ataque não começou com malware sofisticado, mas com engenharia social bem executada.
Os invasores teriam ligado para o suporte técnico da empresa, se passando por funcionários legítimos que alegavam estar bloqueados. A partir daí, conseguiram convencer os atendentes a redefinir senhas e a substituir dispositivos usados na autenticação multifator. Em poucas horas, o grupo obteve acesso a três contas corporativas, duas delas pertencentes a administradores de TI – ou seja, com amplos privilégios dentro da infraestrutura da empresa.
Uma vez dentro do ambiente, os criminosos recorreram a ferramentas legítimas, amplamente usadas por profissionais de tecnologia, como ngrok e Teleport. Esses utilitários permitem criar túneis criptografados entre máquinas locais e a internet, contornando a necessidade de abrir portas diretamente na rede corporativa. Ao usá-los, os invasores conseguiram manter acesso ao ambiente interno e transferir informações para serviços de armazenamento em nuvem sem levantar suspeitas imediatas.
Os registros apontam que pelo menos 77 GB de dados foram exfiltrados. O grupo ainda teria tentado implantar ransomware para criptografar sistemas, mas essa etapa foi frustrada pela equipe de segurança da empresa, que detectou e interrompeu a execução. Mesmo sem o êxito total do ataque, os criminosos teriam exigido 8 milhões de dólares em criptomoedas para não divulgar as informações roubadas.
A vítima recusou o pagamento, mas as consequências financeiras foram significativas: a organização estimou cerca de 2 milhões de dólares em custos, considerando interrupção de operações, resposta ao incidente, investigação forense e recuperação de sistemas. Já Peter Stokes acabou sendo detido na Finlândia, extraditado para os Estados Unidos e levado à Justiça federal em Chicago em junho de 2026, respondendo por conspiração, fraude e invasão de sistemas. Até o fim do processo, mantém-se a presunção legal de inocência.
Como a conta do ngrok entrou na linha de tiro
Entre os elementos que chamam a atenção na investigação está o uso de uma conta no ngrok, serviço bastante conhecido entre desenvolvedores para expor um servidor local à internet por meio de túneis criptografados. Essa conta teria sido criada especificamente para apoiar o ataque à joalheria.
De acordo com documentos do caso, os investigadores obtiveram registros do ngrok e de outros serviços. Em um desses logs, apareceu o Global Device Identifier associado ao dispositivo que acessou a página de cadastro do ngrok. No processo, esse identificador é representado com o formato g:6755467234350028.
A denúncia traz uma descrição atribuída à Microsoft: esse GDID estaria ligado a uma instalação concreta do Windows. Ele pode sobreviver a atualizações, inclusive grandes atualizações de versão, mas tende a mudar quando o sistema é reinstalado do zero. Na prática, isso significa que, para a Microsoft, múltiplas interações com seus serviços – mesmo a partir de redes, IPs e até países diferentes – podem ser reconhecidas como vindas do mesmo ambiente Windows.
Linha do tempo técnica: cadastro e acesso
Os dados apresentados nos autos indicam que a conta do ngrok foi criada às 19h21 UTC de 12 de maio de 2025. No mesmo minuto, o dispositivo associado ao GDID acessou a página de cadastro do serviço. Aproximadamente três horas depois, aquele mesmo identificador teria surgido novamente, agora vinculado a um acesso ao site da varejista, feito através de um servidor proxy relacionado à criação da conta no ngrok.
Esse tipo de correlação temporal não prova nada sozinho, mas passa a ganhar peso quando é analisado em conjunto com outras evidências: IPs utilizados em momentos-chave, padrões de login, possíveis sobreposições com acessos a redes sociais, e até informações de viagem e localização que podem ter sido levantadas em paralelo.
Metadados: o quebra-cabeça da atribuição
É fundamental entender que o GDID, por si só, não “entrega” uma identidade. Ele é apenas um pedaço do quebra-cabeça de atribuição. O valor real do identificador nasce quando autoridades conseguem cruzá-lo com outros bancos de dados: registros de provedores de internet, históricos de login em contas de serviços, dados de sincronização em nuvem, entre outros.
Em uma investigação típica de cybercrime, cada metadado atua como uma pista: um endereço IP que se repete, um horário de acesso compatível com um fuso horário específico, a recorrência de um mesmo dispositivo em diferentes plataformas, o uso de determinados navegadores, idiomas e configurações regionais. O GlobalDeviceId entra como um fio condutor técnico que ajuda a ligar cenas diferentes – uma conta recém-criada em um serviço de túnel, um acesso ao painel de administração de uma empresa, uma conexão a uma conta pessoal – a uma mesma instalação de sistema operacional.
Na prática, a atribuição costuma seguir uma lógica de camadas. Primeiro, agrupa-se uma série de eventos aparentemente dispersos que compartilham algum metadado em comum. Depois, esse conjunto é comparado a perfis, rotinas e movimentos do suspeito: locais onde ele esteve, dispositivos que costuma usar, horários em que acessa determinadas contas. Quando muitas dessas camadas apontam na mesma direção, constrói-se um caso robusto o suficiente para ser levado à Justiça.
Privacidade, telemetria e a zona cinzenta
O episódio reacende uma velha polarização: de um lado, a necessidade de dados para manutenção, segurança, atualização e suporte dos sistemas; de outro, a preocupação legítima com o quanto essas informações podem ser usadas para rastrear e identificar indivíduos, mesmo sem o conhecimento explícito do usuário.
Telemetria não é, por definição, algo mal-intencionado. Ela permite detectar falhas, priorizar correções, medir desempenho e até proteger o usuário de ameaças em tempo real. Porém, o acúmulo de identificadores persistentes – ainda que supostamente anônimos – aumenta o potencial de reidentificação quando esses dados são cruzados em massa, seja por empresas, seja por autoridades com mandados judiciais.
No caso do GlobalDeviceId, o próprio design de persistência entre atualizações, pensado para garantir continuidade na gestão do dispositivo, acaba sendo um trunfo para a investigação criminal. Ao mesmo tempo, esse mesmo atributo assusta parte dos usuários, que passam a temer um “rastro invisível” difícil de apagar sem medidas drásticas, como reinstalar o sistema ou migrar de plataforma.
O que o usuário realmente consegue controlar
Do ponto de vista prático, o usuário comum tem controle limitado sobre identificadores internos de sistemas proprietários. Ainda assim, algumas ações podem reduzir o volume e a granularidade de dados disponíveis:
– Revisar configurações de privacidade do sistema operacional, desativando telemetria opcional quando possível.
– Restringir sincronização desnecessária de dados sensíveis entre dispositivos e contas.
– Usar redes privadas virtuais e segmentação de perfis (por exemplo, separar ambientes de trabalho, testes e uso pessoal).
– Manter senhas fortes e únicos fatores de autenticação, para reduzir a chance de comprometimento inicial por engenharia social.
É importante entender que essas medidas não apagam metadados mantidos por grandes fornecedores, mas podem dificultar a construção de perfis detalhados e a correlação de atividades que, em outras circunstâncias, ficariam claramente conectadas.
Lições para empresas: mais do que tecnologia, processos
O caso também expõe um ponto sensível: muitas invasões sofisticadas começam com falhas humanas em processos de suporte e atendimento. A técnica usada contra a joalheria – fingir ser um funcionário bloqueado e explorar a boa vontade do suporte – é um exemplo clássico de engenharia social.
Organizações que querem se proteger melhor não podem depender apenas de ferramentas e firewalls. É indispensável treinar equipes de atendimento para:
– Validar identidade com múltiplas etapas independentes, e não apenas com informações fáceis de obter.
– Desconfiar de pedidos urgentes de redefinição de senha ou troca de dispositivo de MFA.
– Registrar e auditar todas as alterações sensíveis feitas em contas privilegiadas.
– Ter procedimentos claros para escalonar casos suspeitos à equipe de segurança.
Além disso, o uso de ferramentas legítimas como ngrok e Teleport dentro do ambiente corporativo precisa ser monitorado de perto. Essas soluções não são maliciosas por natureza, mas, nas mãos erradas, se tornam canais ideais para movimentação lateral e exfiltração de dados sem ruído aparente.
Vigilância versus investigação: a fronteira delicada
Um dos elementos que mais gera desconforto nesse tipo de caso é a percepção de que, se empresas têm condições de ajudar a polícia a reconstruir movimentos de um suspeito com base em identificadores internos, também teriam potencial para rastrear qualquer usuário com a mesma precisão.
A diferença central está no acesso aos dados. Em tese, a análise aprofundada de metadados dessa natureza depende de processos legais formais, ordens judiciais e cooperação entre empresas e autoridades. Isso não elimina todos os riscos, mas estabelece freios e contrapesos que não existem no rastreamento puramente comercial voltado a publicidade.
Ainda assim, a fronteira é tênue. Quanto mais detalhada a telemetria e mais conectadas as plataformas, maior o poder de reconstruir comportamentos, rotinas e relações, mesmo sem conteúdo explícito de comunicação. Por isso, debates regulatórios sobre minimização de dados, transparência e limites de retenção ganham relevância crescente.
O equilíbrio entre anonimato e responsabilização
Casos como o de Peter Stokes ilustram o dilema contemporâneo: a mesma infraestrutura de dados que ajuda a identificar grupos de ransomware e coletivos como o Scattered Spider pode, em teoria, ser usada para monitoramento massivo. Ao mesmo tempo, reduzir radicalmente a capacidade de investigação digital também enfraqueceria a resposta a crimes graves, incluindo extorsão, ataques a serviços essenciais e grandes fraudes financeiras.
Encontrar o ponto de equilíbrio passa por três pilares: desenho técnico que limite excessos, legislação clara sobre o que pode ou não ser coletado e por quanto tempo, e mecanismos robustos de fiscalização e transparência. Sem isso, o usuário permanece em uma zona de opacidade, sem saber exatamente quais identificadores o acompanham e como eles podem ser combinados.
Conclusão: o poder escondido dos metadados
O episódio envolvendo o Global Device Identifier dentro de uma investigação de ataque cibernético mostra que, muitas vezes, o que entrega o autor de um crime não é o conteúdo em si, mas os rastros laterais que ele deixa – horários, padrões de conexão, contas criadas, serviços usados, dispositivos envolvidos.
Metadados, isoladamente, são fragmentos pouco reveladores. Mas, quando agregados e analisados em conjunto, formam um retrato detalhado da atividade digital. Para quem investiga, é uma ferramenta poderosa de atribuição. Para quem se preocupa com privacidade, é um alerta sobre o quanto a identidade pode ser reconstruída mesmo sem “espionar” diretamente o que é dito ou acessado.
A controvérsia em torno do caso não deve ser lida apenas como um motivo para abandonar um sistema operacional específico, mas como um convite mais amplo a refletir sobre a arquitetura de dados que sustenta a vida digital moderna. Entender como esses identificadores funcionam, quais são seus limites e de que forma podem ser usados – legítima ou abusivamente – é parte essencial da alfabetização digital de qualquer pessoa conectada hoje.