Un atto giudiziario statunitense ha portato sotto i riflettori un identificatore di tracciamento di Windows poco conosciuto - scatenando un'ondata di titoli allarmistici secondo cui "la privacy e morta" e nemmeno una VPN puo proteggerti. L'identificatore e reale, il caso giudiziario e reale e le questioni sulla privacy meritano di essere prese sul serio. Ma la versione piu spaventosa della storia e anche la meno accurata. Ecco cosa e realmente accaduto, e cosa una VPN fa e non fa al riguardo.
Cos'e realmente il GDID
Il GDID - abbreviazione di Global Device Identifier, e tecnicamente un "Device PUID" (Passport Unique ID) - e un numero a 64 bit che Windows assegna alla tua installazione la prima volta che accedi con un Microsoft Account. Un servizio in background (wlidsvc) lo richiede ai server di login di Microsoft e lo memorizza localmente, nel tuo registro di sistema, in chiaro. La Connected Devices Platform di Microsoft legge poi quel valore e lo appone all'attivita che il tuo PC comunica a Microsoft.
In altre parole, si tratta di un'impronta stabile, specifica per dispositivo, legata al tuo Microsoft Account. I ricercatori di sicurezza che ne hanno fatto il reverse engineering hanno scoperto che non puo essere completamente disattivato, anche se alcuni dei servizi di sincronizzazione che vi ruotano attorno possono essere disabilitati, e che la reinstallazione di Windows genera un nuovo identificatore. Nulla di tutto cio e una backdoor segreta - e ordinaria infrastruttura di telemetria - ma la maggior parte delle persone non ne ha mai sentito parlare.
Come ha aiutato a rintracciare un hacker
Il motivo per cui e improvvisamente diventato notizia e un caso penale. I procuratori statunitensi hanno incriminato Peter Stokes, un 19enne con doppia cittadinanza statunitense ed estone, come presunto membro della famigerata crew di hacker Scattered Spider, in seguito a un'intrusione presso un rivenditore di lusso nel maggio 2025. Secondo l'atto, i registri di Microsoft hanno collegato un ID dispositivo Windows persistente prima all'account usato dagli aggressori, e poi agli account Snapchat, Apple e Facebook che i procuratori attribuiscono a Stokes.
Il dispositivo continuava a comparire sugli stessi indirizzi IP negli stessi momenti di quegli account personali - a Tallinn a meta 2024, poi a New York, poi in Thailandia all'inizio del 2025, una scia che coincideva con i suoi documenti di viaggio. E stato arrestato in Finlandia su avviso dell'Interpol ed estradato negli Stati Uniti. Per gli investigatori, e stato un modo pulito per collegare un intruso anonimo a una persona reale.
Questo significa davvero che una VPN e inutile?
E qui che i titoli esagerano. Una VPN nasconde il tuo vero indirizzo IP ai siti web che visiti e al tuo provider internet, e cifra il tuo traffico sulla rete. Fa esattamente questo anche in questo caso. Cio che una VPN non ha mai dichiarato di fare e impedire al tuo stesso sistema operativo di comunicare un identificatore legato a un account con cui hai effettuato personalmente l'accesso.
La deanonimizzazione in questo caso non e derivata dal violare una VPN. E derivata dalla correlazione: lo stesso identificatore di dispositivo che compariva accanto ai login personali Microsoft, Snapchat, Apple e Facebook, ripetutamente, finche lo schema non ha puntato a un singolo individuo. Una VPN cambia l'IP che quei servizi vedono; non scollega il dispositivo dagli account, e non puo essere d'aiuto una volta che accedi alla tua identita sulla stessa macchina che usi per tutto il resto. La lezione onesta e quella a cui torniamo di continuo: una VPN e uno strato di privacy, non un mantello di anonimato totale. E la stessa realta che ha permesso alla polizia di deanonimizzare gli utenti di una VPN criminale "no-log", e lo stesso limite dietro il motivo per cui legare un'identita reale alla tua connessione mette silenziosamente fine all'anonimato a prescindere dal tunnel che usi.
Cosa puoi realmente fare
Non puoi eliminare del tutto il GDID, ma puoi ridurre quanto vede. Usare un account locale di Windows invece di un Microsoft Account evita in primo luogo di collegare l'identificatore del dispositivo a un'identita cloud personale. Testate autorevoli che hanno esaminato il meccanismo notano che i servizi della Connected Devices Platform (CDPSvc e CDPUserSvc) possono essere disabilitati per interrompere la sincronizzazione costante, al costo di alcune funzionalita tra dispositivi. E il principio piu ampio resta valido: tieni la macchina su cui accedi ai tuoi account reali separata da qualsiasi cosa tu voglia mantenere privata, perche nessuno strumento di rete puo annullare un'identita che hai volontariamente fornito al tuo sistema operativo.
