VPNを使っても隠せないWindows 11の「消せない識別子」GDIDが教えてくれること

2026年8月8日

2026年7月、あるニュースがプライバシー関係者の間で大きな話題になりました。

国際的なハッカー集団「Scattered Spider」のメンバーとされる19歳の容疑者が、VPNを使い、複数の国を移動しながら活動していたにもかかわらず、FBIに特定・逮捕されたという事件です。

決め手になったのは、高度なハッキング技術でも、うっかりミスでもありません。

Windows 11に最初から組み込まれている「GDID」という識別子でした。

この事件は、「VPNを使えば匿名になれる」という考え方がなぜ危ういのかを、これ以上ないほど分かりやすく示しています。

今回は、この事件から見えてきたWindowsの仕組みと、私たちが学ぶべき教訓を、できるだけ専門用語を使わずに解説します。

GDIDとは何か「消せない車台番号」

GDID(Global Device Identifier)は、WindowsをインストールしたりMicrosoftアカウントでサインインしたりしたときに、Microsoftのサーバーから自動的に割り当てられる、そのパソコン固有の番号です。

車にたとえると分かりやすいと思います。

IPアドレス = ナンバープレート:VPNを使えば付け替えられます。今日は東京ナンバー、明日はアメリカのナンバー、という具合です。
GDID = 車台番号:車体そのものに刻印されていて、ナンバープレートをいくら付け替えても変わりません。

つまり、VPNでナンバープレートを何度付け替えても、車台番号を照会されれば「これは同じ車だ」と分かってしまう GDIDはまさにそういう仕組みです。

GDIDには、次のような特徴があります。

ユーザーがオフにする設定は存在しない
自分のGDIDを確認する画面もない
Windowsの再インストールで番号自体は変わるが、同じMicrosoftアカウントでサインインすれば、新旧の番号は結び付けられうる
Microsoftによる一般向けの説明は、今回の事件で公になるまでほぼ皆無だった

Microsoft自身は、連邦裁判所への提出資料の中でGDIDを「Windowsのインストールを一意に識別するための恒久的なデバイスレベルの識別子」と説明しています。

本来の用途はライセンス管理やMicrosoft Storeアプリの識別で、「監視のための機能」として作られたものではないとされています。

ただし結果として、同じパソコンがいつ・どこからインターネットに接続したかを、一貫して追跡できる仕組みになっていました。

事件の経緯 VPNも国境も越えて「同じPC」がつながった

報道されている経緯を簡単にまとめます(※容疑者は起訴された段階であり、有罪が確定したわけではありません)。

2025年5月、アメリカの高級宝飾品企業がサイバー攻撃を受け、約800万ドルの身代金を要求される事件が起きました。

攻撃者はVPNやプロキシを使ってIPアドレスを隠していたため、通信経路の追跡は行き止まりになります。

ところがFBIがMicrosoftに記録の提出を求めたところ、状況が一変します。攻撃に使われたツールのアカウントが作成されたのとまったく同じ時刻に、特定のGDIDを持つWindowsパソコンがそのツールのサイトを訪問していた記録が残っていたのです。

ここから先は、点と点をつなぐ作業でした。Microsoftの記録には、そのGDIDのパソコンが過去に使ったIPアドレスの履歴が残っていました。

捜査当局はそれを、SNSやApple、ゲームアカウントへのログイン記録と突き合わせていきます。

エストニアの自宅のIPアドレスから、GDIDのパソコンとSNSアカウントが数分差でアクセス
ニューヨーク滞在中も、タイ滞在中も、同じパターンが繰り返される
SNSに投稿されたホテルの写真と、GDIDのパソコンがそのホテルのサイトを閲覧した記録まで一致

一つひとつの行動は何気ないものです。

しかし約8か月・4か国にわたって「同じGDIDのパソコン」が容疑者本人のアカウントと同じ場所・同じ時刻に現れ続けたことで、VPNの向こう側にいる人物が一本の線でつながってしまいました。

容疑者は2026年4月、ヘルシンキ空港で日本行きの便に搭乗しようとしたところを逮捕されています。

なぜVPNでは防げなかったのか「層」で考える

このブログで繰り返しお伝えしている考え方に、「どの層(レイヤー)の対策なのか」という視点があります。

VPNが守ってくれるのは、通信経路の層です。

あなたのパソコンとインターネットの間に中継地点を挟むことで、接続先のサイトからは中継地点のIPアドレスしか見えなくなります。

これ自体は有効な仕組みです。

しかしGDIDは、OS(Windows)そのものの層にあります。

Windowsの複数の内部機能が、GDIDを添えた情報をMicrosoftのサーバーに日常的に送信しています。

この通信はVPNのトンネルの「中」を通っていくため、VPNをどれだけ乗り換えても、届く情報の中身「このGDIDのパソコンからの報告です」は変わりません。

バケツの穴にたとえるなら、VPNは横っ腹の大きな穴をふさいでくれますが、底に最初から開いている穴はOSメーカーだけが知っていて、ユーザーにはふさぐ手段が与えられていない、という状態です。

そしてMicrosoftのような企業は、法的な要請(令状や召喚状)があれば、保有する記録を捜査機関に提出します。

今回の事件はまさにその実例でした。ここが「アプリの選び方」ではどうにもならないポイントです。

AppleやAndroidとの違い問題は「存在」より「透明性」

「どのOSにも何らかの識別子はあるのでは?」と思った方は鋭いです。

その通りで、識別子の存在自体はWindowsだけの問題ではありません。

違いはユーザーへの説明と、ユーザーに与えられたコントロールにあります。

	Windows 11のGDID	iPhone/Androidの広告ID
ユーザーへの説明	事件で公になるまでほぼ皆無	設定画面に明記
確認手段	なし	設定から確認可能
リセット	不可(再インストールでも実質つながる)	ユーザーがいつでもリセット可能
追跡への同意	求められない	同意の仕組みあり(iOSは明示的な許可制)

セキュリティ研究者たちが問題視しているのも、「犯罪者が捕まったこと」ではなく、16億人が使うOSに、説明もオフにする手段もない恒久的な識別子が組み込まれていたことです。

ある研究者はこれを指して、Windowsを「監視ソフトウェア」とまで呼びました。

できる対策と、その限界

Windowsを使い続ける場合にできることを挙げます。

ただし先に結論を言うと、これらはGDIDによる紐付けの「範囲を狭める」対策であって、GDIDそのものを消す方法は存在しません。

Microsoftアカウントではなくローカルアカウントを使う——GDIDとアカウントの結び付きを弱められます。ただし近年のWindows 11はローカルアカウントでのセットアップ自体が難しくなっています。
診断データ(テレメトリ)を「必須」のみに絞る——設定 → プライバシーとセキュリティ → 診断とフィードバック
広告IDとパーソナライズ機能をオフにする
クラウド検索をオフにする——ローカル検索の内容がBingに送られるのを防ぎます。