Una demanda judicial en Estados Unidos ha puesto en el foco a un identificador de rastreo de Windows poco conocido - y ha desatado una oleada de titulares alarmantes que afirman que "la privacidad ha muerto" y que ni siquiera una VPN puede protegerte. El identificador es real, el caso judicial es real y las dudas sobre privacidad merecen tomarse en serio. Pero la versión mas aterradora de la historia es tambien la menos exacta. Esto es lo que realmente ocurrio, y lo que una VPN si hace y no hace al respecto.
Que es realmente el GDID
El GDID - abreviatura de Global Device Identifier, y tecnicamente un "Device PUID" (Passport Unique ID) - es un numero de 64 bits que Windows asigna a tu instalacion la primera vez que inicias sesion con una Microsoft Account. Un servicio en segundo plano (wlidsvc) lo solicita a los servidores de inicio de sesion de Microsoft y lo almacena localmente, en tu propio registro, en texto plano. La Connected Devices Platform de Microsoft lee luego ese valor y lo estampa en la actividad que tu PC reporta de vuelta a Microsoft.
Dicho de otro modo, es una huella estable por dispositivo, vinculada a tu Microsoft Account. Los investigadores de seguridad que lo sometieron a ingenieria inversa descubrieron que no se puede desactivar por completo, aunque algunos de los servicios de sincronizacion asociados si pueden deshabilitarse, y que reinstalar Windows genera un identificador nuevo. Nada de esto es una puerta trasera secreta - es fontaneria de telemetria ordinaria - pero la mayoria de la gente nunca ha oido hablar de ello.
Como ayudo a rastrear a un hacker
La razon por la que esto es noticia de repente es un caso penal. La fiscalia estadounidense acuso a Peter Stokes, un ciudadano de 19 anos con doble nacionalidad estadounidense y estonia, como presunto miembro del conocido grupo de hacking Scattered Spider, tras una intrusion en un minorista de lujo en mayo de 2025. Segun la demanda, los registros de Microsoft vincularon un identificador de dispositivo Windows persistente primero con la cuenta que usaron los atacantes, y despues con cuentas de Snapchat, Apple y Facebook que la fiscalia atribuye a Stokes.
El dispositivo seguia apareciendo en las mismas direcciones IP a las mismas horas que esas cuentas personales - en Tallin a mediados de 2024, luego en Nueva York y despues en Tailandia a principios de 2025, un rastro que coincidia con sus registros de viajes. Fue detenido en Finlandia por una notificacion de Interpol y extraditado a Estados Unidos. Para los investigadores, fue una forma limpia de conectar a un intruso anonimo con una persona real.
Significa esto de verdad que una VPN es inutil?
Aqui es donde los titulares se exceden. Una VPN oculta tu direccion IP real a los sitios web que visitas y a tu proveedor de internet, y cifra tu trafico en la red. Aqui hace exactamente eso. Lo que una VPN nunca ha afirmado hacer es impedir que tu propio sistema operativo reporte un identificador vinculado a una cuenta en la que tu mismo iniciaste sesion.
La desanonimizacion en este caso no vino de romper una VPN. Vino de la correlacion: el mismo identificador de dispositivo apareciendo junto a inicios de sesion personales de Microsoft, Snapchat, Apple y Facebook, una y otra vez, hasta que el patron senalo a un solo individuo. Una VPN cambia la IP que ven esos servicios; no desvincula el dispositivo de las cuentas, y no puede ayudar una vez que inicias sesion con tu propia identidad en la misma maquina que usas para todo lo demas. La leccion honesta es la de siempre: una VPN es una capa de privacidad, no un manto de anonimato total. Es la misma realidad que permitio a la policia desanonimizar a los usuarios de una VPN criminal "sin registros", y el mismo limite que explica por que atar una identidad real a tu conexion acaba discretamente con el anonimato sin importar que tunel uses.
Que puedes hacer en la practica
No puedes eliminar el GDID por completo, pero si puedes reducir cuanto ve. Usar una cuenta local de Windows en lugar de una Microsoft Account evita, de entrada, vincular el identificador del dispositivo a una identidad personal en la nube. Medios de referencia que examinaron el mecanismo senalan que los servicios de la Connected Devices Platform (CDPSvc y CDPUserSvc) pueden deshabilitarse para cortar la sincronizacion constante, a costa de perder algunas funciones entre dispositivos. Y el principio general se mantiene: manten la maquina donde inicias sesion con tus cuentas reales separada de todo lo que quieras mantener privado, porque ninguna herramienta de red puede deshacer una identidad que tu mismo entregaste a tu sistema operativo.
