Windows est un logiciel de surveillance

Publié le 07/07/26 à 17h21

Chaque PC sous Windows embarque un identifiant unique, invisible, que Microsoft peut relier à votre activité en ligne. Un VPN n’y change rien. Aucun réglage ne permet de le désactiver. C’est un document judiciaire américain, rendu public cette semaine dans une affaire de cybercriminalité, qui en révèle l’existence et la portée. 1,4 milliard de machines sont concernées.

© Shutterstock - Une plainte pénale fédérale déscellée cette semaine révèle que chaque installation de Windows embarque un identifiant persistant capable de retracer l’activité en ligne d’un PC, y compris derrière un VPN.

Peter Stokes, 19 ans, double national américano-estonien, a été extradé vers les États-Unis fin juin après son arrestation en Finlande. Le ministère américain de la Justice l’accuse d’appartenir à Scattered Spider, un collectif responsable de plus de 100 intrusions et de plus de 100 millions de dollars de rançons. La plainte pénale de 39 pages, déscellée le 1er juillet, détaille le rôle central joué par Microsoft dans l’identification du suspect.

Un identifiant persistant, invisible, sans option de retrait

En mai 2025, Stokes aurait piraté un joaillier de luxe américain en passant par un VPN pour masquer son adresse IP. Le VPN a rempli son rôle sur la couche réseau. L’identifiant Windows, lui, n’a jamais bougé.

Le schéma de corrélation extrait de la plainte pénale fédérale. En bas à gauche, le GDID attribué au PC Windows du suspect (6755467234350028). Au centre, les adresses IP enregistrées. À gauche, les comptes Snapchat et Apple du suspect. Les recoupements entre ces trois sources ont permis au FBI de relier un appareil anonymisé par VPN à une identité réelle. © U.S. Department of Justice

Les registres de Microsoft ont montré que le GDID g6755467234350028, attribué à l’installation Windows de Stokes, avait accédé à la page d’inscription de l’outil ngrok à 19h21 UTC le 12 mai 2025, à la minute exacte de la création du compte utilisé pour l’intrusion.

Un Global Device Identifier dans l’écosystème Windows est un identifiant persistant, au niveau de l’appareil, conçu pour identifier de manière unique une installation de Windows à travers certains services Microsoft.

Le FBI a ensuite croisé l’historique IP du GDID avec les journaux d’accès Snapchat, Apple et Facebook de Stokes. Les recoupements se sont révélés accablants : mêmes adresses IP à Tallinn, New York et en Thaïlande, à quelques minutes d’intervalle, corroborées par les registres du Département d’État et par les photos d’hôtels de luxe publiées par le suspect sur ses réseaux sociaux.

Ce que cela signifie pour les 1,4 milliard de machines sous Windows

Le GDID persiste à travers les mises à jour de Windows. Seule une réinstallation complète du système en génère un nouveau, et rien ne garantit que Microsoft ne puisse recorréler l’ancien et le nouveau via d’autres signaux (compte Microsoft, adresse IP, empreinte matérielle). Aucun mécanisme de désactivation n’a été documenté. Aucun rapport de transparence ne précise dans quelles conditions Microsoft transmet ces données aux autorités.

Microsoft Windows est un logiciel de surveillance.

Costin Raiu, ancien directeur de la recherche chez Kaspersky et figure respectée du renseignement cyber, élargit la question : Apple, Google et les autres grands éditeurs attribuent-ils des identifiants équivalents ? Sont-ils liés au matériel, rendant la réinstallation elle-même insuffisante ? “Si vous voulez être réellement anonyme, vous devrez peut-être passer par Linux, FreeBSD, et tout tunneliser à travers des proxys, Tor et des VPN”, a-t-il estimé dans le podcast Three Buddy Problem.