Um processo judicial nos Estados Unidos colocou um identificador de rastreio do Windows, pouco conhecido, sob os holofotes - e desencadeou uma vaga de manchetes alarmantes que afirmam que "a privacidade morreu" e que nem sequer uma VPN o consegue proteger. O identificador e real, o processo judicial e real, e as questoes de privacidade merecem ser levadas a serio. Mas a versao mais assustadora da historia e tambem a menos rigorosa. Aqui fica o que realmente aconteceu, e o que uma VPN faz e nao faz quanto a isto.
O que e realmente o GDID
O GDID - abreviatura de Global Device Identifier, e tecnicamente um "Device PUID" (Passport Unique ID) - e um numero de 64 bits que o Windows atribui a sua instalacao na primeira vez que inicia sessao com uma Microsoft Account. Um servico em segundo plano (wlidsvc) solicita-o aos servidores de autenticacao da Microsoft e armazena-o localmente, no seu proprio registo, em texto simples. A Connected Devices Platform da Microsoft le entao esse valor e imprime-o na atividade que o seu PC comunica de volta a Microsoft.
Por outras palavras, e uma impressao digital estavel, por dispositivo, associada a sua Microsoft Account. Os investigadores de seguranca que fizeram engenharia inversa concluiram que nao pode ser totalmente desativada, embora alguns dos servicos de sincronizacao em seu redor possam ser desligados, e que reinstalar o Windows gera um identificador novo. Nada disto e uma porta traseira secreta - e canalizacao de telemetria comum - mas a maioria das pessoas nunca ouviu falar dele.
Como ajudou a rastrear um hacker
A razao pela qual e subitamente noticia e um processo criminal. Os procuradores norte-americanos acusaram Peter Stokes, um cidadao de 19 anos com dupla nacionalidade norte-americana e estoniana, como alegado membro do famigerado grupo de hacking Scattered Spider, na sequencia de uma intrusao num retalhista de luxo em maio de 2025. Segundo o processo, os registos da Microsoft associaram um ID de dispositivo Windows persistente primeiro a conta usada pelos atacantes, e depois a contas de Snapchat, Apple e Facebook que os procuradores atribuem a Stokes.
O dispositivo continuou a surgir nos mesmos enderecos IP as mesmas horas que essas contas pessoais - em Tallinn em meados de 2024, depois Nova Iorque, depois a Tailandia no inicio de 2025, um rasto que coincidia com os seus registos de viagens. Foi detido na Finlandia ao abrigo de um aviso da Interpol e extraditado para os Estados Unidos. Para os investigadores, foi uma forma limpa de ligar um intruso anonimo a uma pessoa real.
Isto significa mesmo que uma VPN e inutil?
E aqui que as manchetes exageram. Uma VPN oculta o seu verdadeiro endereco IP dos sites que visita e do seu fornecedor de internet, e cifra o seu trafego na rede. E exatamente isso que faz tambem neste caso. O que uma VPN nunca afirmou fazer e impedir que o seu proprio sistema operativo comunique um identificador associado a uma conta na qual iniciou sessao pessoalmente.
A desanonimizacao neste caso nao resultou de quebrar uma VPN. Resultou de correlacao: o mesmo identificador de dispositivo a surgir ao lado de inicios de sessao pessoais na Microsoft, no Snapchat, na Apple e no Facebook, repetidamente, ate o padrao apontar para um individuo. Uma VPN muda o IP que esses servicos veem; nao desliga o dispositivo das contas, e nao pode ajudar quando inicia sessao na sua propria identidade na mesma maquina que usa para tudo o resto. A licao honesta e aquela a que continuamos a voltar: uma VPN e uma camada de privacidade, nao um manto de anonimato total. E a mesma realidade que permitiu a policia desanonimizar os utilizadores de uma VPN criminosa "sem registos", e o mesmo limite por detras da razao pela qual associar uma identidade real a sua ligacao acaba discretamente com o anonimato independentemente do tunel que utilize.
O que pode realmente fazer
Nao pode eliminar o GDID por completo, mas pode reduzir aquilo que ele ve. Usar uma conta local do Windows em vez de uma Microsoft Account evita, a partida, associar o identificador de dispositivo a uma identidade pessoal na nuvem. Publicacoes de referencia que examinaram o mecanismo notam que os servicos da Connected Devices Platform (CDPSvc e CDPUserSvc) podem ser desativados para cortar a sincronizacao constante, a custa de algumas funcionalidades entre dispositivos. E o principio mais amplo mantem-se: mantenha a maquina onde inicia sessao nas suas contas reais separada de tudo o que quer manter privado, porque nenhuma ferramenta de rede consegue desfazer uma identidade que voluntariamente entregou ao seu sistema operativo.
