Устойчив идентификатор на устройство на Microsoft е бил използван за разкриване на анонимността на предполагаем оператор на хакерската група Scattered Spider, според федерална жалба, подадена в Северния окръг на Илинойс.

Питър Стоукс, на 19 години, с двойно гражданство на САЩ и Естония, за когото се твърди, че е използвал псевдонимите „Bouquet“, „Spencer“ и „Jordan“, е бил арестуван във Финландия на 10 април 2026 г., докато се е опитвал да се качи на полет за Япония. При задържането му у него са открити два твърди диска по два терабайта. Той е задържан в очакване на екстрадиция и е изправен пред обвинения по Закона за компютърните измами и злоупотреби, както и за измами с преводи и съучастие.

Прокурорите твърдят, че той е член на Scattered Spider (известна още като Octo Tempest, UNC3944 и 0ktapus) – група, свързана с над 100 прониквания и над 100 милиона долара платени откупи. Стоукс бе екстрадиран в САЩ въз основа на Червен бюлетин на Интерпол.

Съдебните документи разкриват, че глобалният идентификатор на устройство на Microsoft (GDID) е бил ключов за разобличаването му. GDID е уникален код, вграден във всяка инсталация на Windows, използван за диагностична телеметрия, отчети за сривове, анализ на използването на функции и проверка на лицензи. Тази издръжливост обаче е подкопала оперативната сигурност на хакера.

Според жалбата, проникването в „Компания F“ (голям търговец на луксозни стоки) е започнало на 12 май 2025 г. с гласов фишинг (вишинг) към ИТ отдела за поддръжка. Нападателите са се представили за служители, предизвикали са нулиране на многофакторната автентификация (MFA) и са компрометирали три акаунта, включително два администраторски с високи привилегии.

След това нападателите са свалили и стартирали ngrok агент на виртуален сървър на компанията, отваряйки шифрован тунел. Разследващите са свързали ngrok акаунта с IP адрес, използван за VPN прокси в Илинойс. Записи на Microsoft показват, че устройството с въпросния GDID е било на страницата за регистрация на ngrok в същата минута, в която е създаден акаунтът. ФБР съпоставя историята на IP адресите на този GDID с личните акаунти на Стоукс в Apple, Snapchat, Facebook и играта Growtopia. Съвпаденията се оказали категорични – едно и също устройство и лични акаунти са се появявали от идентични IP адреси в Талин, Ню Йорк и Тайланд, съвпадащи изцяло с туристическите пътувания на Стоукс.