En julio de 2026, un término prácticamente desconocido fuera de los círculos de investigación en seguridad comenzó a ocupar titulares: Global Device Identifier (GDID). Su existencia trascendió al aparecer citado en una investigación criminal del Departamento de Justicia de Estados Unidos relacionada con un presunto miembro del grupo de ciberdelincuencia Scattered Spider.
Aunque Microsoft ya utilizaba este identificador internamente para determinados servicios, su aparición en documentación judicial despertó un intenso debate sobre la privacidad de Windows y sobre el grado de información que el sistema operativo puede asociar a un mismo dispositivo a lo largo del tiempo.
Conviene aclarar un punto importante desde el principio: la existencia del GDID no significa que Microsoft «espíe» automáticamente todo lo que hace un usuario. Lo que sí pone de manifiesto es que Windows dispone de un identificador persistente utilizado por algunos servicios de Microsoft para reconocer una instalación concreta del sistema operativo. La controversia reside en que este mecanismo apenas había sido documentado públicamente y el usuario no dispone de una opción clara para gestionarlo o desactivarlo.
En este artículo analizaremos qué se sabe actualmente sobre el GDID, cómo funciona según la información técnica disponible, qué papel desempeñó en la investigación de Scattered Spider y cuáles son sus implicaciones reales para la privacidad.
¿Qué es el GDID?
El Global Device Identifier (GDID) es un identificador persistente asociado a una instalación de Windows que Microsoft utiliza en determinados servicios relacionados con la identidad del dispositivo, la sincronización entre equipos, la distribución de contenido y otras funciones de la plataforma.
La propia existencia del identificador quedó reflejada en documentación judicial estadounidense, donde se describe como un identificador diseñado para reconocer de forma única una instalación de Windows, tanto en equipos físicos como en máquinas virtuales, dentro de diversos servicios de Microsoft.
En términos prácticos, puede entenderse como una identidad técnica del dispositivo, diferente de otros identificadores conocidos, como:
- La dirección IP.
- La dirección MAC de la tarjeta de red.
- El número de serie del disco duro.
- El identificador publicitario de Windows.
- El Hardware ID utilizado para la activación.
Cada uno cumple una función distinta. El GDID no sustituye a estos mecanismos, sino que constituye un identificador adicional utilizado por la infraestructura de Microsoft.
¿Qué hace diferente al GDID?
La principal característica del GDID es que está diseñado para permanecer estable durante la vida útil de una instalación de Windows, incluso cuando cambian elementos que normalmente dificultan la identificación de un equipo, como:
- La dirección IP.
- La red desde la que se conecta.
- El proveedor de Internet.
- El uso de una VPN o un servidor proxy.
Esto permite que determinados servicios de Microsoft puedan reconocer la misma instalación del sistema operativo a lo largo del tiempo.
Sin embargo, esto no significa que el identificador sea completamente inmutable. Una reinstalación limpia de Windows genera un nuevo identificador, aunque distintos investigadores señalan que Microsoft podría correlacionar una nueva instalación con información previamente asociada a la misma cuenta de Microsoft o a otros metadatos del dispositivo. Ese comportamiento no ha sido documentado públicamente por la compañía y debe considerarse una hipótesis basada en el análisis de investigadores independientes.
Características conocidas del GDID
Con la información disponible hasta la fecha, hay un grupo de propiedades que puede considerarse confirmado: el identificador es persistente durante el uso normal del sistema, está asociado a una instalación concreta de Windows, lo utilizan diversos servicios de Microsoft, es visible en determinadas claves del Registro, lo asigna la infraestructura de Microsoft (es decir, no se deriva del hardware) y puede cambiar tras una reinstalación limpia.
Frente a esas certezas queda una cuestión que, hoy por hoy, sigue siendo solo una hipótesis razonable y no confirmada oficialmente: que Microsoft pueda correlacionar posteriormente una nueva instalación con la misma cuenta Microsoft utilizando otros datos asociados al dispositivo.
Esta distinción entre hechos documentados e hipótesis es importante. Gran parte del debate sobre el GDID surge precisamente porque Microsoft apenas ha explicado públicamente el funcionamiento interno de este mecanismo.
¿Por qué el GDID ha generado tanta polémica?
Los sistemas operativos modernos utilizan numerosos identificadores internos para gestionar licencias, sincronizar configuraciones, distribuir actualizaciones o mantener la seguridad de la plataforma. En ese sentido, el GDID no es un concepto completamente nuevo.
Lo que ha llamado la atención de investigadores y especialistas en privacidad son varios factores:
- Su existencia era prácticamente desconocida para el público general.
- Microsoft apenas había publicado documentación accesible sobre este identificador.
- No existe una opción visible en Windows para consultarlo, restablecerlo o desactivarlo.
- Su aparición en una investigación criminal demostró que puede resultar útil para correlacionar la actividad de un mismo dispositivo incluso cuando se utilizan VPN o diferentes conexiones a Internet.
Todo ello ha reabierto un debate recurrente: ¿hasta qué punto debe un sistema operativo poder identificar persistentemente un dispositivo y qué nivel de transparencia debería ofrecer al usuario?
Ese debate no afecta únicamente a Microsoft. Apple, Google y otros fabricantes también emplean distintos identificadores internos, aunque en muchos casos proporcionan más documentación o permiten restablecer algunos de ellos.
Lo que sabemos… y lo que todavía no sabemos
Uno de los errores más frecuentes en Internet consiste en presentar el GDID como una herramienta de vigilancia absoluta. La evidencia disponible no respalda esa afirmación.
Actualmente puede considerarse razonablemente demostrado que:
- Existe un identificador persistente utilizado por diversos servicios de Microsoft.
- Dicho identificador aparece citado en documentación judicial.
- Puede consultarse indirectamente mediante determinadas claves del Registro de Windows.
- Es utilizado para identificar una instalación concreta del sistema operativo dentro de determinados servicios.
En cambio, no está demostrado públicamente que:
- Microsoft registre toda la actividad del usuario mediante el GDID.
- Todas las aplicaciones de Windows tengan acceso a este identificador.
- El GDID sobreviva a cualquier cambio importante de hardware.
- El identificador se utilice con fines publicitarios.
Distinguir entre hechos, evidencias técnicas e hipótesis permite analizar el tema con mayor objetividad y evita sacar conclusiones que la información disponible todavía no permite sostener.
Cómo funciona el GDID: la arquitectura técnica detrás del identificador
Una vez comprendido qué es el Global Device Identifier (GDID) y por qué ha despertado tanto interés, surge la pregunta más importante: ¿cómo funciona realmente?
La respuesta corta es que Microsoft no ha publicado una documentación técnica completa sobre este mecanismo. Sin embargo, la combinación de documentación oficial, ingeniería inversa realizada por investigadores independientes y el análisis de los propios componentes de Windows permite reconstruir con bastante precisión el flujo general de funcionamiento.
Es importante distinguir entre lo que está documentado, lo que puede verificarse experimentalmente y aquello que sigue siendo una inferencia técnica razonable.
El origen del identificador
A diferencia de otros identificadores generados por Windows utilizando información del hardware, todo apunta a que el GDID no nace localmente.
Las investigaciones realizadas hasta la fecha indican que el proceso comienza cuando Windows establece comunicación con los servicios de identidad de Microsoft, normalmente durante el uso de una cuenta Microsoft o cuando determinados servicios del sistema necesitan autenticar el dispositivo.
En ese intercambio aparece un identificador conocido como Device PUID (Passport Unique ID), asignado por la infraestructura de Microsoft y posteriormente utilizado por diversos componentes del sistema operativo.
Dicho de otra forma:
El Device PUID sería la identidad básica asignada al dispositivo, mientras que el GDID representa la forma en que esa identidad es utilizada por distintos servicios de Microsoft para reconocer una instalación concreta de Windows.
Aunque ambos conceptos suelen aparecer mezclados en muchas publicaciones, conviene diferenciarlos porque técnicamente no son exactamente lo mismo.
Flujo general del proceso
Simplificando el funcionamiento, el recorrido sería similar al siguiente:
Este diagrama resume el flujo conocido, aunque internamente intervienen muchos más componentes y servicios.
Paso 1. Windows solicita la identidad del dispositivo
Cuando el usuario inicia sesión con una cuenta Microsoft, el servicio Microsoft Account Sign-in Assistant, históricamente asociado al componente wlidsvc.dll, establece comunicación con los servidores de autenticación de Microsoft.
Durante este proceso, la infraestructura de Microsoft devuelve distintos datos relacionados con la identidad del dispositivo.
Entre ellos aparece el Device PUID, un valor de 64 bits que posteriormente será utilizado por otros componentes del sistema.
Es importante señalar que este valor no se genera mediante un algoritmo local basado en el hardware, sino que procede de los propios servicios de Microsoft: el cliente lo extrae de la respuesta del servidor de autenticación. Ese es, precisamente, el motivo por el que una reinstalación de Windows produce un GDID nuevo (nuevo aprovisionamiento, nuevo PUID asignado por el servidor) y por el que no puede tratarse de un simple resumen del hardware.
Paso 2. Almacenamiento en el Registro de Windows
Una vez recibido, Windows conserva este identificador en varias claves del Registro.
La más conocida es:
HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties
donde aparece el valor:
LID = 0018XXXXXXXXXXXX
También puede encontrarse en otras ramas relacionadas con IdentityCRL y los tokens asociados al dispositivo. Conviene fijarse en el prefijo: los identificadores de usuario pertenecen a la clase 0003, mientras que los identificadores de dispositivo —como el que da lugar al GDID— pertenecen a la clase 0018.
Este comportamiento puede verificarse directamente en un equipo Windows mediante PowerShell, por lo que constituye uno de los aspectos mejor documentados del proceso.
Paso 3. El papel de Connected Devices Platform
Uno de los componentes más relevantes es Connected Devices Platform (CDP).
Se trata del servicio encargado de coordinar numerosas funciones modernas de Windows, entre ellas:
- Phone Link.
- Portapapeles compartido.
- Sincronización entre dispositivos.
- Compartir contenido entre equipos.
- Descubrimiento de dispositivos cercanos.
- Parte de la infraestructura de continuidad entre dispositivos.
Según los análisis publicados por diversos investigadores, CDP no genera el identificador por sí mismo: lo recibe de la capa de identidad como una cadena de texto y lo utiliza para registrar el dispositivo dentro del denominado Device Directory Service (DDS), la infraestructura que Microsoft emplea para mantener la relación entre un usuario y sus distintos equipos.
Es en este punto donde suele aparecer el prefijo g: asociado al identificador, dando lugar al formato habitualmente conocido como GDID (por ejemplo, g:6755467234350028, el valor que figura en el expediente judicial).
Paso 4. Delivery Optimization
Otro servicio que aparece repetidamente en las investigaciones es Delivery Optimization.
Su función principal consiste en optimizar la distribución de actualizaciones de Windows utilizando descargas inteligentes e incluso intercambio P2P entre dispositivos cuando la configuración lo permite.
De hecho, este es el único punto donde Microsoft nombra el valor en su documentación pública: la documentación de Azure Monitor define una columna GlobalDeviceId en la tabla UCDOStatus (Update Compliance / Delivery Optimization), descrita como «identificador global de dispositivo de Microsoft, utilizado internamente». En esa misma tabla, el identificador aparece junto a otros campos como:
- versión de Windows;
- estado del servicio;
- proveedor de Internet (ISP);
- país o región;
- datos relacionados con la conectividad.
Conviene matizar que Delivery Optimization únicamente informa de ese identificador; no es su propietario. Y su presencia en estos registros no implica necesariamente un envío continuo de información, sino la inclusión del identificador en determinados escenarios relacionados con el funcionamiento del propio servicio.
¿Qué papel desempeña Microsoft Edge?
Uno de los aspectos que más controversia ha generado es la posible relación entre el GDID y la navegación web.
Aquí conviene ser preciso, porque el detalle importa. Está documentado —y Microsoft lo ha explicado públicamente— que los modos de telemetría extendida (Diagnóstico Completo/Opcional, en lugar de Requerido/Básico) pueden enviar a Microsoft listas de URLs analizadas por SmartScreen y Microsoft Defender, junto con el identificador del dispositivo. Y el navegador Edge, en esa configuración, puede llegar a enviar cada URL visitada.
Dicho de otro modo: el GDID por sí solo es un identificador de dispositivo, no un registro de navegación. Lo que ocurre es que, cuando la telemetría está configurada en modo extendido, la actividad de navegación puede acabar viajando junto a ese identificador. Con la telemetría en Requerido/Básico no parece transmitirse ese listado de URLs de forma predeterminada.
Esta distinción es clave: no existe evidencia pública de un seguimiento universal y automático de toda la navegación mediante el GDID, pero sí de que, en determinadas configuraciones, la información de URLs y el identificador del dispositivo pueden quedar correlacionados.
¿Por qué Microsoft utiliza un identificador persistente?
Desde el punto de vista técnico, mantener una identidad estable para un dispositivo ofrece numerosas ventajas operativas. Entre ellas:
- reconocer un mismo equipo aunque cambie de dirección IP;
- mantener sincronizados varios dispositivos del usuario;
- gestionar licencias digitales;
- facilitar la recuperación de configuraciones;
- mejorar la distribución de actualizaciones;
- detectar anomalías o posibles fraudes;
- administrar servicios asociados a la cuenta Microsoft.
Este tipo de identificadores no es exclusivo de Windows. Plataformas como Android, iOS, macOS o diversas distribuciones Linux utilizan mecanismos similares para resolver problemas de autenticación, sincronización o administración del sistema.
La diferencia reside principalmente en el grado de documentación, la transparencia ofrecida al usuario y la posibilidad —o no— de gestionar dichos identificadores.
Lo que sabemos con certeza
Hasta el momento, la evidencia técnica permite afirmar con bastante seguridad que:
- Windows utiliza un identificador persistente asociado a determinados servicios de Microsoft.
- Ese identificador se almacena en el Registro y puede comprobarse localmente.
- Componentes como Connected Devices Platform y Delivery Optimization hacen uso de él.
- El identificador aparece mencionado en documentación judicial y en documentación técnica relacionada con servicios de Microsoft.
Sin embargo, siguen existiendo preguntas abiertas que Microsoft no ha respondido públicamente:
- ¿Qué servicios utilizan exactamente el GDID?
- ¿Durante cuánto tiempo permanece asociado a un dispositivo?
- ¿Qué mecanismos permiten correlacionar nuevas instalaciones con identificadores anteriores?
- ¿Qué información adicional puede asociarse a ese identificador en cada servicio?
Estas incógnitas explican por qué el GDID se ha convertido en un tema de debate entre investigadores de seguridad y especialistas en privacidad.
El caso Scattered Spider: cómo el GDID salió a la luz pública
Durante años, el Global Device Identifier (GDID) pasó prácticamente desapercibido para la comunidad tecnológica. No aparecía mencionado en la documentación habitual para administradores de Windows, apenas existían referencias públicas y muy pocos investigadores habían prestado atención a su funcionamiento.
La situación cambió cuando el identificador apareció citado en una investigación criminal del Departamento de Justicia de Estados Unidos (DOJ) contra un presunto integrante del grupo de ciberdelincuencia Scattered Spider, en una causa tramitada en el Distrito Norte de Illinois (Chicago).
Paradójicamente, el objetivo del procedimiento judicial no era revelar el funcionamiento interno de Windows, sino demostrar cómo los investigadores habían conseguido relacionar múltiples actividades aparentemente inconexas con un mismo dispositivo.
Fue precisamente esa explicación la que permitió conocer la existencia pública del GDID.
¿Quién es Scattered Spider?
Scattered Spider —también conocido como Octo Tempest, UNC3944 u 0ktapus— es el nombre con el que se conoce a un grupo especializado en:
- robo de credenciales;
- ingeniería social;
- ataques contra grandes empresas;
- secuestro de cuentas corporativas;
- ransomware;
- extorsión.
A diferencia de muchos grupos tradicionales de ciberdelincuencia, Scattered Spider se caracteriza por combinar técnicas de intrusión relativamente sencillas con una excelente capacidad para manipular a empleados y departamentos de soporte.
Entre sus objetivos se encuentran grandes compañías de telecomunicaciones, casinos, empresas tecnológicas y proveedores de servicios en la nube. Según el Departamento de Justicia, el grupo se ha visto implicado en más de 100 intrusiones y más de 100 millones de dólares en pagos por rescate.
El caso de Peter Stokes
El procedimiento judicial describía las actividades atribuidas a Peter Stokes, de 19 años y con doble nacionalidad estadounidense y estonia (conocido en línea por el alias «Bouquet»), acusado de participar en la intrusión y el intento de extorsión contra un minorista de joyería de lujo, identificado en el expediente como «Company F».
Según la documentación presentada por la fiscalía estadounidense, los investigadores necesitaban demostrar que diferentes acciones realizadas desde múltiples ubicaciones pertenecían realmente al mismo autor.
El problema era evidente. El sospechoso utilizaba:
- VPN.
- Proxies.
- Cambios constantes de dirección IP.
- Servicios destinados a ocultar su ubicación.
Con métodos tradicionales habría resultado mucho más difícil establecer una continuidad entre todas esas conexiones.
Fue entonces cuando apareció el GDID.
La cronología de la investigación
De forma simplificada, los hechos descritos en la documentación judicial fueron los siguientes.
Entre el 12 y el 15 de mayo de 2025
Los atacantes telefonearon al servicio de soporte del minorista desde números de Google Voice, se hicieron pasar por empleados y consiguieron que el personal restableciera credenciales, incluida la verificación en dos pasos. En pocas horas controlaban tres cuentas, dos de ellas de administradores de TI. A partir de ahí instalaron ngrok (y una segunda herramienta de túnel) para mantener acceso persistente al centro de datos de la empresa, situado en Nueva Jersey, y exfiltraron al menos 77 GB de datos.
12 de mayo de 2025 (registro del dispositivo)
Se crea la cuenta en ngrok, un conocido servicio utilizado para crear túneles seguros hacia equipos remotos. La creación de la cuenta se realiza a través de un servidor proxy VPN (situado en Mount Prospect, Illinois). En ese preciso momento —a las 19:21 UTC, el mismo minuto en que se crea la cuenta— Microsoft registra la actividad de un dispositivo identificado mediante un GDID concreto: g:6755467234350028.
Unas tres horas después
El mismo identificador vuelve a aparecer asociado a la visita del sitio web de la empresa que sería víctima del intento de extorsión, a través del mismo proxy. Aunque la dirección IP podía cambiar, el identificador del dispositivo seguía siendo el mismo.
Correlación de información
A partir de ese momento, los investigadores pudieron comparar distintos registros procedentes de varios servicios. Según la denuncia, el mismo identificador y las direcciones IP asociadas aparecían relacionados con cuentas del sospechoso en distintas plataformas.
La correlación de esa información permitió reforzar la hipótesis de que todas las conexiones procedían del mismo dispositivo, incluso cuando cambiaban:
- la dirección IP;
- el país;
- la VPN utilizada;
- el proveedor de Internet.
Es importante destacar que el GDID no constituyó por sí solo la prueba del caso. Los investigadores combinaron numerosos elementos:
- registros de conexión;
- cuentas de distintos servicios;
- reservas de hoteles;
- fotografías públicas;
- información de viajes;
- datos de proveedores de Internet;
- otros indicios digitales.
El GDID fue uno de los elementos de correlación dentro de un conjunto mucho más amplio de pruebas.
Sobre el desenlace del ataque conviene precisar un dato: pese a la exigencia de un rescate de aproximadamente 8 millones de dólares en criptomonedas, el equipo de seguridad del minorista logró expulsar a los atacantes de la red y no se pagó rescate alguno.
¿Por qué fue tan importante?
En investigaciones de ciberdelincuencia, uno de los mayores problemas consiste en determinar si decenas o cientos de conexiones pertenecen realmente al mismo equipo.
Una dirección IP, por ejemplo, tiene numerosas limitaciones. Puede cambiar:
- al reiniciar el router;
- al conectarse desde otra red;
- al utilizar datos móviles;
- al emplear una VPN;
- al utilizar un proxy.
Si además el atacante cambia continuamente de ubicación, resulta todavía más difícil reconstruir la actividad.
Un identificador persistente reduce considerablemente ese problema. En lugar de seguir la dirección IP, los investigadores pueden seguir la identidad técnica del dispositivo cuando ésta aparece registrada por distintos servicios.
Lo que demuestra este caso
Conviene separar cuidadosamente los hechos de las interpretaciones.
El caso sí demuestra que:
- Microsoft dispone de un identificador persistente utilizado por determinados servicios.
- Ese identificador puede resultar útil para correlacionar actividad asociada a un mismo dispositivo.
- Las autoridades pueden acceder a esa información mediante los procedimientos legales correspondientes (por ejemplo, una citación judicial) dentro de una investigación.
Sin embargo, el caso no demuestra que Microsoft supervise permanentemente toda la actividad de los usuarios ni que cualquier navegación por Internet quede automáticamente registrada mediante el GDID.
Esa es una diferencia fundamental.
Privacidad frente a investigación criminal
El descubrimiento del GDID ha reabierto un debate que lleva años presente en el ámbito de la tecnología.
Por un lado, disponer de identificadores persistentes puede aportar ventajas claras:
- detectar fraudes;
- combatir el robo de cuentas;
- limitar abusos en servicios online;
- dificultar que delincuentes oculten completamente su identidad digital;
- mejorar la seguridad de la plataforma.
Desde esa perspectiva, el caso Scattered Spider constituye un ejemplo de cómo este tipo de mecanismos puede facilitar investigaciones especialmente complejas.
Por otro lado, también plantea preguntas legítimas desde el punto de vista de la privacidad. Muchos especialistas consideran que los usuarios deberían conocer con mayor claridad:
- qué identificadores genera su sistema operativo;
- para qué se utilizan;
- qué servicios los emplean;
- durante cuánto tiempo se conservan;
- si pueden eliminarse o regenerarse.
En otras palabras, el debate no gira únicamente alrededor de la existencia del GDID, sino de la transparencia con la que se informa sobre él.
La reacción de la comunidad de seguridad
Tras hacerse pública la documentación judicial, numerosos investigadores comenzaron a analizar el funcionamiento del identificador.
Las principales preocupaciones expresadas por la comunidad no fueron tanto la existencia de un identificador persistente —algo relativamente habitual en plataformas modernas— como la falta de documentación pública y la escasa capacidad del usuario para conocer cómo funciona.
También surgieron preguntas que todavía siguen abiertas:
- ¿Todos los servicios de Microsoft utilizan el mismo identificador?
- ¿Puede regenerarse sin reinstalar Windows?
- ¿Qué datos adicionales pueden asociarse a él?
- ¿Existe alguna forma oficial de consultarlo o administrarlo?
Hasta la fecha, Microsoft no ha publicado respuestas detalladas para todas estas cuestiones.
Lo que este caso no debería hacernos pensar
Es fácil caer en dos extremos igualmente incorrectos.
El primero consiste en afirmar que el GDID demuestra que Windows espía todo lo que hace el usuario. La evidencia disponible no respalda esa conclusión.
El segundo consiste en minimizar completamente su importancia. La aparición del identificador en una investigación judicial demuestra que tiene un papel real dentro de la infraestructura de Microsoft y que puede ser un elemento valioso para correlacionar la actividad de un dispositivo en determinados contextos.
La realidad, como suele ocurrir en seguridad informática, se sitúa en un punto intermedio. El GDID no convierte automáticamente a Windows en un sistema de vigilancia masiva, pero tampoco puede considerarse un identificador irrelevante. Su existencia pone de manifiesto la creciente dependencia de los sistemas operativos modernos de mecanismos capaces de identificar dispositivos de forma persistente para prestar servicios, mejorar la seguridad y gestionar millones de equipos conectados.
¿Cómo comprobar si tu equipo utiliza el GDID?
Una de las preguntas más habituales tras conocer la existencia del GDID es si puede comprobarse directamente en un equipo Windows.
La respuesta es sí, aunque con algunas limitaciones.
Windows no muestra el Global Device Identifier en ninguna pantalla de configuración ni existe una utilidad oficial destinada al usuario para consultarlo. Sin embargo, varios de los componentes relacionados con este mecanismo almacenan información en el Registro de Windows que puede inspeccionarse mediante PowerShell.
Obtener el Device PUID
En la mayoría de instalaciones que utilizan una cuenta Microsoft puede consultarse el valor almacenado mediante el siguiente comando:
(Get-ItemProperty `
'HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties').LID
El resultado será un valor hexadecimal de 16 dígitos similar a:
0018A4F72D3C9E15
Este valor corresponde al Device PUID, considerado por numerosos investigadores como la base sobre la que posteriormente se construye el identificador utilizado por distintos servicios de Microsoft. Si esa clave apareciera vacía en tu equipo, el mismo valor suele encontrarse bajo HKCU\SOFTWARE\Microsoft\IdentityCRL\Immersive\production\Token\{...}\DeviceId.
Convertirlo al formato utilizado por algunos servicios
Para obtener la representación decimal utilizada habitualmente en las investigaciones técnicas:
$hex = (Get-ItemProperty `
'HKCU:\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties').LID
"g:$([Convert]::ToUInt64($hex,16))"
El resultado será similar a:
g:6755467234350028
Ese formato es el que suele aparecer citado en documentación técnica y en investigaciones relacionadas con el GDID.
Importante: este identificador debe tratarse como un dato sensible. Aunque por sí solo no identifica a una persona, puede utilizarse para correlacionar información procedente de distintos servicios. No conviene publicarlo, ya que —junto con el identificador de cuenta y el SID de usuario— podría contribuir a desanonimizar el equipo.
Comprobar los servicios relacionados
También puede verificarse si los principales componentes implicados están presentes en el sistema:
Get-Service CDPSvc,CDPUserSvc
Dependiendo de la versión de Windows aparecerán servicios como:
- Connected Devices Platform Service
- Connected Devices Platform User Service
Su presencia no significa necesariamente que el equipo esté enviando información en ese momento, sino que dispone de la infraestructura necesaria para las funciones de sincronización entre dispositivos.
¿Puede desactivarse el GDID?
Actualmente Microsoft no ofrece una opción oficial para desactivar el GDID desde la configuración de Windows.
No existe un interruptor equivalente al que sí encontramos para:
- el identificador publicitario;
- el historial de actividad;
- determinadas opciones de diagnóstico.
Esta ausencia de controles visibles constituye uno de los principales motivos de crítica por parte de investigadores especializados en privacidad.
Qué puede hacerse para reducir la exposición
Aunque eliminar completamente el identificador no parece posible sin afectar al funcionamiento de diversos servicios, sí existen medidas que reducen la cantidad de información potencialmente asociada al dispositivo.
1. Utilizar una cuenta local
El Device PUID que da lugar al g: se genera al aprovisionar el equipo con una cuenta Microsoft. Por tanto, utilizar una cuenta local evita esa vía concreta y reduce la integración con numerosos servicios en la nube.
Hay que tener presente, no obstante, que el propio investigador que realizó la ingeniería inversa apunta a que Connected Devices Platform dispone de una «ruta de dispositivo anónima» que podría generar un identificador aun sin iniciar sesión con una cuenta Microsoft. Dicho de otro modo: una cuenta local reduce la exposición, pero no está confirmado que la elimine por completo.
2. Desactivar la sincronización innecesaria
Si no utilizas funciones como Phone Link, sincronización entre dispositivos, portapapeles compartido o configuración sincronizada, conviene deshabilitarlas. Reducirás la comunicación con diversos servicios de Microsoft sin perder funcionalidades esenciales del sistema operativo.
3. Revisar la configuración de privacidad
Windows permite limitar parte de la información enviada mediante:
Configuración → Privacidad y seguridad → Diagnóstico y comentarios
Aunque esto no elimina el GDID, sí tiene un efecto real sobre los datos adicionales asociados al dispositivo. En particular, mantener el diagnóstico en «Requerido/Básico» en lugar de «Completo/Opcional» evita el envío del listado de URLs analizadas por SmartScreen y Defender, que es precisamente la información de navegación que en el caso Stokes viajaba junto al identificador.
4. Deshabilitar Connected Devices Platform (solo usuarios avanzados)
Algunos administradores optan por detener los servicios CDP. Debe hacerse únicamente si se conoce su función, ya que pueden dejar de funcionar características como:
- Compartir entre dispositivos.
- Portapapeles en la nube.
- Phone Link.
- Algunas funciones de sincronización.
En equipos domésticos normalmente no merece la pena salvo que exista un requisito específico de privacidad. Conviene saber, además, que borrar la carpeta local %LOCALAPPDATA%\ConnectedDevicesPlatform solo elimina el estado local de CDP: el identificador vuelve a recuperarse del almacén de identidad, de modo que esa acción por sí sola no lo evita.
5. Utilizar navegadores independientes
Si no deseas que la navegación se sincronice con tu cuenta Microsoft, puedes utilizar navegadores sin sincronización o mantener desactivadas dichas funciones. Esto no afecta al GDID, pero reduce la cantidad de información asociada a la cuenta Microsoft.
¿Cómo se compara con otros sistemas operativos?
Uno de los errores más comunes consiste en pensar que Windows es el único sistema que utiliza identificadores persistentes. En realidad, prácticamente todas las plataformas modernas disponen de mecanismos similares.
| Sistema | Identificador | ¿Puede restablecerse? | Transparencia |
|---|---|---|---|
| Windows | GDID | No existe opción oficial | Baja |
| Android | Google Advertising ID + otros identificadores internos | Sí (publicidad) | Alta |
| iOS | IDFA + identificadores internos | Sí (publicidad) | Muy alta |
| macOS | Diversos identificadores del sistema | Parcial | Media |
| Linux | /etc/machine-id | Sí | Muy alta |
La diferencia principal no reside tanto en la existencia del identificador como en el grado de documentación y control ofrecido al usuario.
Preguntas frecuentes
¿El GDID es un virus?
No. Forma parte de la infraestructura de Windows y de diversos servicios de Microsoft.
¿Puede cambiar?
Sí. Una reinstalación limpia genera un nuevo identificador. Lo que no está documentado públicamente es si Microsoft puede relacionar posteriormente ese nuevo identificador con instalaciones anteriores utilizando otros datos asociados a la cuenta.
¿Es lo mismo que el identificador publicitario?
No. El identificador publicitario está pensado para personalización y anuncios. El GDID cumple funciones relacionadas con la identidad del dispositivo y determinados servicios internos.
¿Es lo mismo que el Hardware ID?
No. El Hardware ID identifica componentes físicos. El GDID identifica una instalación de Windows dentro del ecosistema de Microsoft.
¿Puede utilizarse para localizar un ordenador?
No directamente. El GDID no funciona como un GPS ni proporciona la ubicación física del equipo. Lo que permite es reconocer la identidad de una instalación cuando interactúa con determinados servicios.
¿Microsoft puede ver todos mis archivos gracias al GDID?
No existe ninguna evidencia pública que indique eso. El GDID es un identificador técnico. No concede acceso automático al contenido del disco duro, documentos, fotografías o contraseñas.
Conclusión
El descubrimiento público del Global Device Identifier (GDID) ha puesto de manifiesto un aspecto poco conocido del funcionamiento interno de Windows: la existencia de un identificador persistente utilizado por determinados servicios de Microsoft para reconocer una instalación concreta del sistema operativo.
El análisis de la documentación disponible y de las investigaciones independientes permite afirmar con bastante seguridad que este identificador existe, que desempeña un papel real dentro de la infraestructura de Microsoft y que puede resultar útil para correlacionar la actividad de un mismo dispositivo en determinados contextos, como demostró la investigación del caso Scattered Spider.
Sin embargo, también es importante evitar conclusiones que la evidencia actual no respalda. No existen pruebas públicas de que el GDID convierta a Windows en un sistema de vigilancia capaz de registrar automáticamente toda la actividad del usuario. Del mismo modo, tampoco puede afirmarse que sea un identificador irrelevante o meramente anecdótico.
La verdadera cuestión es otra: la transparencia. En una época en la que los sistemas operativos dependen cada vez más de servicios en la nube, sincronización entre dispositivos e inteligencia artificial, resulta razonable que los usuarios quieran conocer qué identificadores genera su sistema, con qué finalidad se utilizan y qué posibilidades existen para gestionarlos.
Es probable que en los próximos años este debate adquiera aún mayor relevancia, especialmente a medida que entren en vigor nuevas regulaciones sobre privacidad y los fabricantes se vean obligados a ofrecer una documentación más completa sobre los mecanismos internos de identificación. El GDID es, en ese sentido, un ejemplo de cómo la evolución tecnológica exige también una evolución en la transparencia y el control que los usuarios tienen sobre sus propios dispositivos.