Un diciannovenne si è coperto il viso con un ventaglio di banconote da cento dollari e ha pubblicato l’immagine su Snapchat. Giorni prima aveva inviato agli amici una foto di una stazione di polizia estone con la didascalia: «Mi sento proprio come Raymond Reddington, stagione 1, episodio 1» – un riferimento al cattivo della serie TV che entra nel quartier generale dell’FBI e si costituisce. Più tardi è arrivata la battuta che non sarebbe invecchiata bene: «I federali non hanno idea di cosa si siano appena lasciati sfuggire», ha scritto.
I federali lo sapevano. Lo sapevano da più di un anno. E ciò che Peter Stokes ha rivelato non è stato un passo falso, né un tradimento, né una password violata. È stato il suo portatile con Windows a fare esattamente ciò per cui Microsoft lo aveva progettato.
Stokes, cittadino con doppia cittadinanza statunitense ed estone, residente a Tallinn, è stato arrestato in Finlandia mentre tentava di imbarcarsi su un volo ed è stato estradato a Chicago, dove dovrà rispondere delle sue accuse relative ai legami con il gruppo di hacker Scattered Spider.
Il governo accusa il gruppo di oltre 100 intrusioni nelle reti dal 2022, più di 100 milioni di dollari di riscatti e una serie di attacchi contro aziende che sembrano un vero e proprio «Who’s Who» del mondo degli affari.
L’accusa sostiene che Stokes abbia contribuito a violare un rivenditore di gioielli di lusso, a rubarne i dati e a estorcere circa 8 milioni di dollari in criptovaluta. L’azienda si è rifiutata di pagare, ma ha comunque perso almeno 2 milioni di dollari per riparare i danni.
Ma non è questo il motivo per cui ricercatori di sicurezza informatica, ingegneri della protezione dei dati e una schiera di normali utenti Windows hanno fissato questa settimana un’istanza giudiziaria. Il motivo è una singola stringa nascosta nell’atto d’accusa dell’FBI: un numero di cui la maggior parte dei possessori di Windows non ha mai sentito parlare e che non riescono a trovare sui propri computer.
Abbiamo messo a vostra disposizione qui una copia dell’atto d’accusa da scaricare.
Microsoft lo chiama Global Device Identifier (GDID). Il GDID è il motivo per cui un criminale, che ha fatto quasi tutto nel modo giusto, è stato comunque catturato – e ora si trova sul vostro computer.
L’unica cosa che una VPN non può nascondere
Stokes non è stato negligente nell’anonimizzazione. Ha gestito le sue attività tramite una VPN (Virtual Private Network), lo strumento standard per nascondere la propria vera posizione su Internet.
Una VPN sostituisce il vostro vero indirizzo IP – l’identificativo numerico della vostra connessione Internet – con quello del server VPN. I siti web vedono il server, non voi. Il vostro provider di servizi Internet vede il traffico crittografato verso la VPN, non i siti che visitate. Se utilizzata correttamente, è un vero e proprio scudo protettivo – lo stesso scudo su cui fanno affidamento i giornalisti per proteggere le fonti, gli attivisti sotto regimi ostili e le vittime di abusi che si nascondono dagli stalker.
La VPN ha fatto il suo lavoro. Ciò che non è riuscita a fare è stato modificare l’identità del computer sottostante.
Secondo Microsoft, un Global Device Identifier è «un identificativo permanente associato al dispositivo, utilizzato per identificare in modo univoco un’installazione del sistema operativo Windows su un dispositivo – sia esso un dispositivo fisico (ad esempio un cellulare o un portatile) o una macchina virtuale».
In parole semplici: quando Windows viene installato sul vostro computer, assegna a tale installazione un numero di serie e lo comunica a Microsoft. Questo numero viaggia insieme ai dati di telemetria – il flusso costante di dati diagnostici e di attività che Windows invia ai server Microsoft. A Microsoft non interessa quale indirizzo IP utilizziate quel giorno. Segue l’installazione.
Microsoft ha comunicato al tribunale che l’identificativo «rimane costante su un dispositivo durante gli aggiornamenti del sistema operativo Windows». Se reinstallate Windows, ricevete un nuovo GDID, ma quello vecchio non scompare dai registri di Microsoft. L’azienda lo conserva e può continuare ad essere associato al dispositivo da cui proviene. Non è possibile disattivarlo. Non esiste un’opzione nelle impostazioni per disattivarlo. Non è mai stato chiesto il consenso.
Da un numero di serie a un volto
Ciò significa, secondo la cronologia fornita dallo stesso governo, che per infiltrarsi nella gioielleria gli hacker hanno installato uno strumento chiamato ngrok sui server dell’azienda.
Ngrok crea un tunnel crittografato che aggira le difese di rete e consente a un estraneo di accedere a computer che in realtà dovrebbero essere irraggiungibili. L’accusa sostiene che il gruppo lo abbia utilizzato «per aggirare le difese di rete dell’azienda F e consentire un accesso non autorizzato e permanente al centro dati dell’azienda F», per poi deviare i dati attraverso questo tunnel.
Per configurare ngrok era necessario creare un account. Tale account è stato creato il 12 maggio 2025 da un indirizzo proxy VPN che terminava con .168. La VPN nascondeva l’identità della persona, ma non nascondeva l’installazione di Windows. I registri di Microsoft hanno mostrato che, esattamente nello stesso minuto in cui è stato creato l’account ngrok, un dispositivo con GDID g:6755467234350028 ha visitato la pagina di accesso di ngrok.
Tre ore dopo, lo stesso dispositivo, dallo stesso proxy, ha effettuato una ricerca sul sito web del gioielliere. La macchina che aveva configurato lo strumento di attacco aveva un nome, anche se il suo proprietario non ne aveva uno.
Da un numero di serie a un volto
Un identificativo del dispositivo è inutile per gli investigatori finché non riescono ad associarlo a una persona. È qui che il GDID ha smesso di essere una curiosità tecnica per diventare la colonna portante del caso.
Poiché l’identificativo viaggia insieme ai dati di telemetria, Microsoft ha potuto fornire all’FBI qualcosa che una VPN non può mai cancellare: una cronologia continua degli indirizzi IP utilizzati da quel dispositivo nel corso dei mesi. Gli investigatori hanno incrociato questa cronologia con i registri di accesso degli account che ritenevano già appartenessero a Stokes: il suo Snapchat, il suo Facebook, due account Apple e il suo account per il gioco online Growtopia.
[Diagramma di flusso con i protocolli RDP associati ai vari riscontri provenienti da Snapchat, Apple e Microsoft, con gli indirizzi IP elencati.]
Il 4 giugno 2024, il dispositivo GDID ha utilizzato un indirizzo IP a Tallinn. Lo stesso indirizzo ha effettuato l’accesso a Snapchat e Facebook di Stokes nel giro di poche ore. Nel novembre 2024, il dispositivo è apparso su un indirizzo IP di New York. I documenti di viaggio del Dipartimento di Stato dimostrano che Stokes si trovava a New York proprio in quelle date, e le sue stesse foto su Snapchat lo ritraggono al Four Seasons e al Waldorf Astoria, nonché a un incontro UFC in città il 16 novembre.
Il dispositivo ha successivamente visitato il sito web dell’Empire Hotel di New York, e secondo l’accusa la moquette e l’arredamento visibili in uno dei selfie di Stokes su Snapchat corrispondono a quelli di una suite dell’Empire Hotel. Nel febbraio 2025 il dispositivo si trovava in Thailandia. Anche Stokes era lì, mentre posava con una bottiglia d’acqua con la scritta «WALDORF ASTORIA BANGKOK».
Le autorità avevano bisogno di un dispositivo che si rivelasse ovunque andasse – e di un giovane che non riuscisse a smettere di fotografare i propri viaggi di lusso. Il GDID è stato il filo conduttore che ha collegato un account ngrok mascherato da un proxy a una persona in carne e ossa che continuava a pubblicare la propria posizione sui social media.
Cosa prevede la legge – e cosa no
Il quadro giuridico alla base di tutto ciò mostra quanto sia esiguo il divario tra un dispositivo sulla vostra scrivania e un fascicolo in un ufficio sconosciuto.
L’accusa contro Stokes si basa sul Computer Fraud and Abuse Act, la principale legge statunitense contro l’hacking, che punisce l’accesso non autorizzato a un computer, nonché il causare danni o ricatti a seguito dell’intrusione. Questa parte è indiscussa.
Hackerare una gioielleria e chiedere 8 milioni di dollari è un reato sotto ogni punto di vista.
La parte più rivelatrice è il modo in cui gli investigatori hanno raccolto le prove. Microsoft non ha aspettato una richiesta. Secondo l’atto d’accusa, nell’ottobre 2024 l’azienda ha segnalato in modo proattivo Stokes alle autorità statunitensi – più di un anno prima della formulazione dell’accusa – indicando il proprio sospettato interno «spencer» come «probabile operatore di Octo Tempest» (il nome interno dell’azienda per Scattered Spider) e ha ipotizzato che il suo «probabile vero nome fosse Peter Stokes». Microsoft ha segnalato volontariamente un nome, una città e una teoria sul reato prima ancora che qualcuno si rivolgesse all’azienda in merito a qualsiasi cosa.
Quando poi il governo ha avviato un’azione legale, gli strumenti utilizzati sono stati quelli di routine. La procura ha ottenuto un’ordinanza «reverse» ai sensi di una disposizione dello Stored Communications Act, sezione 2703(d), diretta contro due indirizzi IP di Tallinn.
Un’ordinanza «reverse» inverte la consueta procedura. Anziché chiedere a un provider cosa abbia fatto un sospettato noto, essa richiede al provider di identificare tutti gli account che hanno interagito con un determinato indirizzo e di fornire quindi gli indirizzi corrispondenti. Microsoft ha ottemperato alla richiesta e ha fornito ulteriori indirizzi IP collegati a Stokes. I mandati di perquisizione hanno completato il quadro.
La dottrina che rende possibile tutto ciò risale a decenni fa e viene raramente messa in discussione dai tribunali. Secondo la dottrina della terza parte (Third-Party Doctrine), le informazioni che si forniscono volontariamente a un’azienda perdono generalmente la protezione del Quarto Emendamento – in base alla teoria secondo cui non si ha alcuna legittima aspettativa di privacy riguardo ai dati che si sono già condivisi.
La Corte Suprema ha infranto questa logica nel 2018 nel caso Carpenter v. United States, stabilendo che la polizia necessita di un mandato di perquisizione per accedere alle cronologie dettagliate delle posizioni conservate dagli operatori di telefonia mobile. Non è stato ancora verificato se un identificativo permanente del dispositivo e la relativa cronologia IP rientrino nella protezione prevista dalla sentenza Carpenter o siano considerati normali documenti aziendali. Un imputato come Stokes, che si trova di fronte a prove schiaccianti, non è certo la persona che metterà alla prova questa questione. La legge in questo ambito non è chiara. È semplicemente incontestata.
Il principio del terzo fornitore ruota attorno a una parola: volontariamente. La teoria presuppone che abbiate deciso di condividere i dati. Voi non avete scelto il GDID. Non potete vederlo, non potete cancellarlo e non vi è mai stato chiesto il consenso. La giustificazione giuridica per trattare questi dati come preda facile si basa su un consenso che non è mai stato dato.
I difensori di questa normativa avanzano un’argomentazione valida, che merita di essere esposta nella sua forma più forte. I sistemi operativi moderni necessitano di dati diagnostici per colmare le falle di sicurezza, risolvere i crash e individuare proprio quel malware che Scattered Spider utilizza. Un identificativo del dispositivo stabile aiuta Microsoft a distinguere un computer da un altro quando distribuisce questi aggiornamenti e dà la caccia a queste minacce. La stessa telemetria che ha smascherato Stokes alimenta anche le misure di difesa che proteggono milioni di persone che non commetteranno mai alcun atto malevolo. E Microsoft non è affatto l’unica. Anche Apple, Google e gli altri sono quasi certamente in grado di identificare i dispositivi su cui gira il loro software.
Tutto questo è vero, ma è irrilevante rispetto al punto che dovrebbe preoccuparvi.
Microsoft è in grado di identificare un hacker. Può identificare anche chiunque altro – in modo silenzioso, per impostazione predefinita, senza notifiche e senza possibilità di disattivazione – e trasmettere tale identità a terzi. Una capacità sviluppata per catturare gli utenti peggiori esiste identica anche sul computer di quelli migliori. Non verifica le vostre intenzioni prima di contrassegnare la vostra installazione e iniziare la registrazione. L’infermiera, l’organizzatore sindacale, la giornalista che incontra un informatore, l’adolescente che esplora una questione stigmatizzata: tutti portano lo stesso numero invisibile, generano la stessa cronologia tracciabile, che risiede sugli stessi server ed è disponibile secondo le stesse procedure di routine.
Il design è intenzionale. Si tratta di un identificativo permanente, legato al vostro hardware, che registra le vostre attività, viene conservato anche dopo la cancellazione del dispositivo e viene menzionato una volta in un documento scritto per essere ignorato. Permanenza, invisibilità e conservazione sono caratteristiche – ed è stata proprio ciascuna di esse a rendere possibili le prove contro Stokes.
Il terreno scivoloso di cui si parla qui non è retorica ipotetica, poiché la stessa architettura è già al servizio delle normali indagini penali tramite ordinanze di tracciamento inverso, che raccolgono tutti i dati nelle vicinanze di un indirizzo. Trasferite questo concetto da un blocco IP di Tallinn a una manifestazione, una clinica, una moschea o una redazione, e il dispositivo che vi accompagna ovunque diventa il testimone che vi localizza in quel luogo.
L’anonimato è il presupposto affinché una fonte possa parlare con un giornalista, affinché un dissidente possa organizzarsi, affinché una persona possa leggere di una diagnosi, di una fede o di una questione politica senza che da qualche parte venga creata una registrazione permanente a cui non possa accedere. Lo stesso strumento che identifica un hacker identifica anche un manifestante.
Nulla di tutto ciò rende Stokes simpatico. Lo rende istruttivo. Il suo caso rappresenta quel raro momento in cui il meccanismo viene descritto davanti a un tribunale pubblico – in modo concreto, con numeri di dispositivo e timbri temporali – prima che scompaia nuovamente nella routine dei rinvii proattivi e delle ordinanze secretate. Ci ha mostrato lo strumento essendo stato abbastanza imprudente da farsi catturare mentre lo utilizzava.
Cosa potete fare concretamente
La conclusione onesta è scomoda. Una VPN – lo strumento su cui la maggior parte delle persone fa affidamento per la privacy – non ha fatto nulla per contrastarla. Ha protetto il percorso di rete, lasciando il dispositivo completamente identificabile. Chiunque si affidi esclusivamente a una VPN per rimanere anonimo su Windows sta proteggendo la parte sbagliata della connessione.
Le vere soluzioni sono di natura strutturale, ed è proprio questo che dovreste esigere. Microsoft potrebbe documentare il GDID in un linguaggio semplice, informare gli utenti della sua esistenza e dare loro la possibilità di visualizzarlo e disattivarlo. Le autorità di regolamentazione – in particolare in Europa, dove viveva Stokes e dove la protezione dei dati è più forte – potrebbero mettere in discussione come un identificativo del dispositivo permanente e non consensuale sia compatibile con le norme che richiedono il consenso informato proprio per questo tipo di tracciamento. I tribunali potrebbero finalmente valutare se la cronologia IP di un dispositivo meriti la tutela del mandato che Carpenter ha esteso ai dati di localizzazione dei telefoni. Nulla di tutto ciò avverrà senza pressione, e la pressione non si crea se le persone non sanno che l’identificativo esiste.
L’unico modo per sfuggire completamente all’identificativo di un sistema operativo proprietario è smettere di utilizzare un sistema operativo proprietario. I sistemi open source come Linux, il cui codice è accessibile a tutti, non inviano alcun numero nascosto che si collega a una singola azienda. Per la maggior parte delle persone questo rappresenta un passo importante, e fingere che non lo sia sarebbe disonesto.
Peter Stokes dovrà affrontare il processo, e le prove a suo carico sembrano schiaccianti. Il numero che lo ha smascherato non comparirà in tribunale.
E continuerà a funzionare su un miliardo di computer i cui proprietari non hanno mai acconsentito a ospitarlo, creando lo stesso tipo di cronologia e in attesa dello stesso ordine di procedura.
Pensava che una VPN lo rendesse invisibile. Si sbagliava – e chiunque altro pensi la stessa cosa si sbaglia a sua volta. Quel numero che lo ha individuato li sta osservando tutti – e quasi nessuno conosce il suo nome.
