スキャッタード・スパイダーのメンバーが起訴された。マイクロソフトのGDIDが裁判の争点に

スキャッタード・スパイダー(Scattered Spider)サイバー犯罪グループのメンバーとされるピーター・ストークス(Peter Stokes)氏に対する刑事告訴状が最近公開され、これまで明らかにされていなかったWindowsのテレメトリーに関する詳細が判明しました。

マイクロソフトはこれまで、プライバシー重視の企業という評判を得ていたわけではありませんが、今回の告訴状では、Windowsのインストールに紐づく永続的な識別子であるマイクロソフトのグローバルデバイス識別子(Global Device Identifier、GDID)が、この事件で重要な役割を果たしたことが明らかになっています。

GDIDにより、捜査当局は容疑者のWindowsインストールとngrokへの登録活動、その他のテレメトリーとを関連付けることができました。しかしセキュリティ専門家や弁護士がCSOに語ったところによると、GDIDはあくまで、プロバイダーの記録やIP履歴、その他のアカウントログなど、より広範な相関関係の連鎖を構成する一要素に過ぎず、これらが総合的に、2025年5月に発生した高級宝飾品小売業者への攻撃の容疑者としてストークス氏を特定する手がかりになったといいます。

マネージド検知・対応(MDR)サービスを提供するHuntressのシニアセキュリティオペレーションズマネージャーであるドレイ・アガ(Dray Agha)氏は、「マイクロソフトはngrokを監視していたわけではなく、デバイスを監視していたのです。捜査当局がそれらの点をつなぎ合わせました」と説明します。

それでも、この起訴は広範な技術コミュニティやプライバシー擁護派の間で、あまり知られておらず文書化もほとんどされていないGDIDをめぐるマイクロソフトのデータ収集慣行について、多くの疑問を呼び起こしています。

GDIDは証拠の連鎖の一部か、それとも決定的な証拠か

GDIDは自動的に割り当てられ、単一のWindowsインストールに紐づく一意の識別子で、Windowsのアップデートを経ても変わりません。ただし、Windowsを再インストールすると新しいGDIDが生成されます。このIDは、Windowsに同梱されているものも含め、さまざまなマイクロソフト関連サービスやアプリのテレメトリー収集の一環として、マイクロソフトのサーバーに送信されます。

起訴状によると、マイクロソフトの記録から、ストークス氏のGDIDに紐づくWindowsデバイスが、ローカルの開発サーバーを安全にインターネットへ公開するために使われるサービスであるngrokの登録ページにアクセスしていたことが判明しました。また同記録によれば、ストークス氏のGDIDに関連付けられたWindowsデバイスは、Tzuloのプロキシサーバー経由でウェブサイトにアクセスし、その後被害企業のウェブサイトを閲覧していたとされています。

マイクロソフトが収集し、ストークス氏のWindowsデバイスに関連付けたとされるこの活動の詳細は、Windowsユーザーやデータプライバシーに関心を持つコミュニティの双方に大きな懸念を引き起こしました。

しかし、米法律事務所Varghese Summersettの刑事専門弁護士であるベンソン・バルギーズ(Benson Varghese)氏が指摘するように、この刑事告訴状は技術的な監査証跡ではなく、あくまで相当な理由(probable cause)を示す文書です。

「『マイクロソフトの記録』という表現は、複数の異なるデータソースを一つの文章に圧縮している可能性があります」とバルギーズ氏はCSOに語ります。「これは必ずしも、Windows自体があらゆるブラウザでのすべてのウェブサイト閲覧を記録していたことを意味するわけではありません。ただし、捜査当局が永続的なデバイス識別子に紐づく記録を入手し、その識別子をサードパーティーサービスに関連する活動と結びつけたことを示唆しています」

米法律事務所Slaughter&Lupton所属の刑事弁護士であるエヴェレット・ラプトン(Everett Lupton)氏も、起訴状の技術的な曖昧さを指摘しています。

「しかしこの刑事告訴状には、これらの記録がどのように生成されたのか、あるいはどのマイクロソフト製品がそれらを収集したのかを正確に説明するだけの技術的な詳細が記載されていません」とラプトン氏はCSOに語ります。「マイクロソフトがEdge、Microsoft Defender SmartScreen、その他のセキュリティサービス、あるいは別のマイクロソフト製品を通じて完全なウェブアドレスを取得していたのかどうかは不明です」

ラプトン氏はさらに続けます。「マイクロソフトが完全な閲覧履歴を保持していなかった可能性もあります。その代わりに捜査当局が、マイクロソフトのデバイス、タイムスタンプ、IPの記録と、ngrokおよびTzuloから別途入手した記録とを相関させた可能性も考えられます。この点は告訴状の文言からは明らかではありません」

これらの記録がEdge、SmartScreen、Defender、マイクロソフトアカウントサービス、クラッシュレポート、あるいは別のマイクロソフト製品コンポーネントに由来するものであった場合、GDIDをめぐって浮上するプライバシーおよび法的な意味合いは、特定ユーザーに関連する活動の永続的な保持という問題から、異なる情報源同士を相関させることで生じる問題へと変わってきます。

「マイクロソフトが保有していたのが、単にタイムスタンプやIPアドレス、デバイス識別子、あるいはセキュリティテレメトリーに過ぎず、検察がそれを後からngrokやTzuloのログと相関させたのだとすれば、それはマイクロソフトが閲覧履歴を保持していたこととは異なります」とバルギーズ氏は述べます。「告訴状の文言はあまりに簡潔すぎて、その点を確信を持って答えることはできません」

Huntressのアガ氏が見る限り、捜査当局は「おそらく、召喚状によってngrokとTzuloから入手したアクセスログを、標準的なWindowsテレメトリーと相関させたのでしょう」と述べています。

「起訴状はまるで一つの整然としたデータベースであるかのような印象を与えますが、実際には捜査当局が事後的に異なるデータソースをつなぎ合わせたのです」と同氏は語ります。

プライバシーにも限界がある

今回の事件は、プロキシやリレーを使ってインターネットトラフィックの送信元と送信先を隠す仮想プライベートネットワーク(VPN)やTorといったプライバシー保護技術の限界を浮き彫りにしています。

「TorやVPNといったツールはIPアドレスを隠しますが、GDIDのような永続的な識別子はOS自体に組み込まれています」とアガ氏は説明します。「デバイスがプロキシ経由で接続している最中に、アップデートや同期のためにマイクロソフトへ定期的に『帰属確認』を行うと、そのマスクされたIPから固有のIDを発信してしまうことになります」

アガ氏はさらにこう付け加えます。「これによって、プロキシに既知のデバイスというタグが実質的に付けられてしまい、本来プライバシー保護ツールが提供するはずだった匿名性が失われます。運用上のセキュリティ(オペセック)は、多くの場合ネットワーク層で止まってしまうのです」

バルギーズ氏はこう付け加えます。「今回の事件は、エンドポイントのテレメトリーが、捜査当局にとってネットワークログよりも価値がある場合が多いことを示しています。容疑者の氏名が判明する前にデータが収集されていたのであれば、後になってプライバシー保護ツールを使ってもあまり意味がない可能性があります」

スキャッタード・スパイダーの容疑者を摘発できたことは、法執行機関にとって明らかな成果と言えます。しかし同時に、標準的なWindowsユーザーであれば誰でも、自分が容疑者になるはるか以前から、同様に永続的で検索可能な記録を生成し続けているという事実も浮き彫りになりました。

「永続的なデバイスIDが法執行機関によって照会され、ユーザーの匿名性を剥がすことができるという事実は、マイクロソフトのデータ保持期間、GDIDに対する明確なオプトアウト手段の欠如、そして一般ユーザーに対するより広範なプライバシー上の意味合いについて、正当かつあまり議論されてこなかった問題を提起しています」とアガ氏は結論付けます。

テクノロジー企業は、有効な召喚状、令状、裁判所命令が発行された場合、アカウントおよびデバイスの記録を提供するよう求められることがあります。「しかしそれでも、単一の永続的な識別子が異なるIPアドレスやサービスをまたいだ活動の関連付けに役立ちうるという事実には、ユーザーが驚くこともあるでしょう」とラプトン氏は結論付けます。

より広範なプライバシー上の課題は、透明性にあります。

「永続的なデバイス識別子がいつ使用されているのか、どのような活動がそれに紐づけられる可能性があるのか、データがどのくらいの期間保持されるのか、そしてユーザーがそうした情報の収集をどのように減らせるのかについて、ユーザーには明確に説明されるべきです」とラプトン氏は述べます。「こうした記録が重大犯罪の捜査に役立つ可能性があるとしても、それによって、意味のあるプライバシー保護や適切な法的監督の必要性がなくなるわけではありません」