FBI 抓获 19 岁黑客，微软 GDID 数据立功

IT之家 7 月 6 日消息，美国司法部联合美国联邦调查局（FBI）与芬兰国家调查局，逮捕了一名隶属于“散蛛（Scattered Spider）”黑客组织的嫌疑人。这名 19 岁青年名为彼得 · 斯托克斯，同时持有美国与爱沙尼亚双重国籍；事发时他正于赫尔辛基准备搭乘飞往日本的航班，执法人员当场将其抓获。微软全球设备识别系统（GDID）也为此次抓捕行动提供了关键协助。该嫌疑人现已被提起共谋、网络入侵及欺诈多项指控，目前处于候审阶段。美国司法部称，“散蛛”是全球规模最大的网络犯罪团伙之一，通过勒索赎金累计敲诈超 1 亿美元（IT之家注：现汇率约合 6.79 亿元人民币）。该团伙还有多个别称：八风暴（Octo Tempest）、3944 号联合网络部队（UNC3944）和八爪怪（Oktapus）等，以擅长社会工程学诈骗手段闻名。针对斯托克斯的核心刑事指控，源于该团伙 2025 年 5 月对美国一家高端珠宝经销商发起的网络攻击。据调查，攻击者利用谷歌语音拨打该企业 IT 技术支持热线，伪装成公司内部员工。他们成功诱骗客服重置账户登录凭证，借此入侵三个企业账号，其中两个具备管理员最高权限。检方指控斯托克斯参与此次作案，团伙随后窃取企业核心数据，并向珠宝商索要价值 800 万美元（现汇率约合 5428.4 万元人民币）的加密货币赎金。涉事企业最终自行恢复了系统访问权限，并未支付赎金，但此次网络攻击造成业务停摆，据称直接损失达 200 万美元。这起案件也成为追查斯托克斯的关键线索，检方顺着攻击者留下的纸质与数字痕迹逐步锁定嫌疑人。微软在此过程中起到核心作用，向联邦调查局提供了 GDID 设备追踪数据，助力警方抓获这名涉案黑客。GDID 全称全球设备标识符，是每一套 Windows 系统安装时分配的唯一识别码，用于采集设备专属遥测数据。这也是电脑更换核心硬件后，Windows 系统授权可能失效的原因。本案法庭卷宗显示，斯托克斯使用 Windows 设备作案，调查人员借此将他的实体硬件设备，与特定网络行为、活动地点一一对应。现有资料显示，早在检方完成案件证据链搭建前，GDID 就已整理出斯托克斯完整的行为记录，警方只需梳理线索即可锁定嫌疑人。微软向调查人员提供了带精确时间戳的全套日志数据，涵盖斯托克斯网页浏览记录、游戏游玩历史、IP 地址、黑客工具使用记录（含内网穿透工具 Ngrok）、微软云 Azure 使用状态等全部信息。此事也引发外界质疑：微软采集的遥测数据精细程度极高，存在侵犯用户隐私的潜在风险。本次这套数据用于抓捕涉案黑客实属正面用途，但倘若此类海量数据落入居心叵测之人手中，后果不堪设想。精通技术的用户长期以来都在诟病 Windows 过度采集遥测数据，网上盛行的系统精简优化风潮正是由此衍生；而 GDID 标识符无法通过简单设置一键关闭或彻底清除。除此之外，斯托克斯登机前往日本时随身携带两块硬盘，硬盘内留存大量可定罪的犯罪证据，也为案件侦破提供重要佐证。相关部门早在 2024 年就已掌握其真实身份，但当时他尚未成年，且长期往返居住于爱沙尼亚与阿联酋，执法部门只能持续监控、等待合适抓捕时机。被捕后，斯托克斯被引渡至美国，并于 2026 年 6 月 30 日首次在芝加哥联邦法院出庭，目前仍处于羁押状态。