En 19-årig misstänkt medlem i hackergruppen Scattered Spider ska ha använt VPN och utländska IP-adresser. Ändå kunde FBI knyta honom till ett dataintrång genom en unik Windows-identifierare i Microsofts ekosystem, enligt amerikanska domstolshandlingar.
Fallet gäller Peter Stokes, en 19-årig amerikansk-estnisk medborgare som i juni åtalades i USA misstänkt för omfattande dataintrång kopplade till den kriminella hackergruppen Scattered Spider, även känd som Octo Tempest och UNC3944.
Enligt det amerikanska justitiedepartementet greps Stokes i Finland i april och utlämnades senare till USA. Han anklagas för att ha deltagit i över 100 intrång mot företag och organisationer, däribland ett angrepp mot ett större lyxvaruföretag i maj 2025.
Det som nu väckt uppmärksamhet i teknik- och integritetskretsar är inte bara åtalet, utan hur utredarna säger sig ha kopplat den misstänkte till aktiviteten bakom ett av intrången.
VPN räckte inte
I den federala brottsanmälan beskriver FBI hur ett konto hos tunneltjänsten Ngrok skapades från en VPN-proxyadress. Kontot ska sedan ha använts för att ge angriparna uthållig obehörig åtkomst till företagets nätverk.
Men enligt domstolshandlingarna hade Microsoft samtidigt uppgifter som visade att samma Windows-enhet, identifierad genom en så kallad Global Device Identifier, eller GDID, hade besökt Ngroks registreringssida vid exakt samma tidpunkt som kontot skapades.
FBI skriver att Microsofts register visade att Ngrok-kontot hade satts upp via enheten med identifieraren g:6755467234350028. En Microsoftrepresentant beskrivs i handlingarna som att GDID är en beständig enhetsidentifierare i Windows-ekosystemet, avsedd att unikt identifiera en installation av Windows på en fysisk eller virtuell enhet.
Identifieraren ska enligt handlingarna bestå över vanliga Windowsuppdateringar, men bytas vid en ominstallation av operativsystemet.
Kopplades till sociala konton och resor
Myndigheterna nöjde sig inte med att bara hitta samma enhet vid Ngrok-registreringen. I anmälan redovisas också hur enheten med samma GDID vid olika tidpunkter delade IP-adresser med konton som FBI kopplar till Stokes, däribland Snapchat-, Facebook- och Applekonton.
Exempelvis uppges enheten ha använt en IP-adress i Tallinn i Estland som även användes för åtkomst till Stokes Facebook- och Snapchatkonton samma dag. Liknande överlappningar redovisas från New York och Thailand. I flera fall jämförs IP-uppgifterna med reseuppgifter och bilder från sociala medier.
FBI:s slutsats är att användaren av Windows-enheten med GDID är samma person som användaren av de konton som tillskrivs Stokes.
Stokes är inte dömd. Uppgifterna i handlingarna är åklagarens och FBI:s påståenden i ett pågående brottmål.
Microsoft gjorde tidigare hänvisning
Även Microsofts roll framgår på flera ställen i domstolshandlingarna. FBI uppger att Microsoft redan i oktober 2024 gjorde en brottsanmälan eller hänvisning där bolagets analytiker pekade ut personen bakom en hackerpersona som sannolikt Peter Stokes i Tallinn.
I en fotnot förklaras att Microsofts säkerhetsforskare i sitt arbete har tillgång till data som maskin-id:n, IP-adresser och skadeprogramsprover kopplade till avancerade hackergrupper. Syftet beskrivs som att identifiera hackergrupper och de datorer som används i angrepp.
Det är just denna typ av datakoppling som gör fallet större än den enskilda brottsutredningen. Om uppgifterna i anmälan stämmer visar det att en Windows-installation kan fungera som en uthållig teknisk markör även när IP-adresser byts, VPN används och aktiviteter sker i flera länder.
A 19-year-old hacker used VPNs, tunneling tools, and rotated IPs across 3 countries. The FBI still caught him. Here's the Windows feature that made it possible and why it should concern everyone.
— Tech Falcon (@T3chFalcon) July 6, 2026
Integritetsfrågor kvarstår
På X har flera teknikprofiler lyft fallet som ett exempel på hur operativsystemens telemetri och enhetsidentifierare kan få långtgående konsekvenser för användarnas anonymitet. En tråd från kontot Tech Falcon har fått stor spridning och pekar på att även en användare som byter IP-adresser kan spåras om samma maskin fortsätter att lämna en igenkännbar identifierare.
Samtidigt rör det sig om ett allvarligt brottmål där den misstänkte anklagas för intrång, utpressning och datastöld. Integritetsfrågan handlar därför inte om huruvida brottsbekämpning ska kunna utreda grov cyberbrottslighet, utan om hur mycket vardagsdata stora teknikplattformar samlar in, hur länge den sparas och under vilka villkor den lämnas vidare till myndigheter.
Det finns ingen vanlig användarinställning i Windows som tydligt förklarar eller låter användaren hantera just GDID på det sätt som cookies eller reklamidentifierare ofta presenteras. Domstolshandlingarna visar inte heller någon bred offentlig policy för när sådana identifierare lämnas ut.
Fallet blir därmed ännu en påminnelse om att anonymitet på nätet inte bara avgörs av IP-adressen. Operativsystem, konton, webbläsare, molntjänster och diagnostikdata kan tillsammans skapa en betydligt mer detaljerad bild av en användares digitala liv än vad många inser.
