# Secondo indiscrezioni, Microsoft ha consegnato all’FBI i dati che hanno inchiodato l’hacker Peter Stokes URL: https://menteinformatica.it/sicurezza-privacy/microsoft-dati-fbi-peter-stokes/ Autore: Giorgio Perillo Aggiornato: 2026-07-06 Categoria: Sicurezza e Privacy --- Un 19enne con doppia nazionalità statunitense ed estone, **Peter Stokes**, è stato arrestato a Helsinki mentre cercava di imbarcarsi su un volo per il Giappone. Secondo le autorità americane, faceva parte di **Scattered Spider**, uno dei gruppi di criminalità informatica più attivi al mondo, accusato di aver estorto complessivamente oltre **100 milioni di dollari** in riscatti. A inchiodarlo, in buona parte, è stato Windows. ## Il GDID: l’identificativo che Windows non dimentica Il punto tecnico centrale di questa vicenda è il **GDID** (Global Device Identifier), un identificativo univoco che Windows assegna a ogni installazione e che accompagna la telemetria raccolta dal sistema operativo. Microsoft ha fornito all’FBI i dati GDID relativi al dispositivo di Stokes, permettendo agli investigatori di collegare il suo hardware fisico a specifiche attività online. Dai documenti del tribunale emerge un quadro dettagliato: **cronologia di navigazione, attività di gaming, indirizzi IP, uso di strumenti come Ngrok, stato degli account Azure**, tutto marcato con timestamp e consegnato agli investigatori. Non si tratta di un accesso straordinario o di una backdoor: è la normale telemetria che Windows raccoglie e che, su richiesta legale, può essere trasmessa alle autorità. **Perché conta:** Questo caso ricorda che usare strumenti di anonimizzazione non basta se il sistema operativo sottostante continua a raccogliere e trasmettere dati identificativi. Il GDID non è una novità tecnica, ma raramente emerge così chiaramente in un procedimento penale pubblico. ## L’attacco e la cattura: la sequenza dei fatti L’accusa principale contro Stokes riguarda un attacco a un **rivenditore di gioielli di lusso statunitense**, avvenuto a maggio 2025. Il gruppo avrebbe usato **Google Voice** per chiamare l’help desk IT spacciandosi per dipendenti, convincendo l’assistenza a reimpostare le credenziali di tre account, due dei quali con privilegi di amministratore. Da lì, furto di dati e richiesta di riscatto: **8 milioni di dollari in criptovalute**. L’azienda non ha pagato, ma ha subito perdite operative stimate in **2 milioni di dollari**. Stokes era già stato identificato nel 2024, quando era ancora minorenne e viveva tra Estonia ed Emirati Arabi Uniti. Le autorità lo hanno tenuto sotto osservazione fino al momento opportuno. Al momento dell’arresto aveva con sé due hard disk contenenti, secondo gli inquirenti, ulteriori prove. Il **30 giugno 2026** è comparso davanti a una corte federale di Chicago, dove si trova tuttora in detenzione in attesa del processo, con accuse di associazione a delinquere, intrusione informatica e frode. ## Il vero nodo: la telemetria come strumento investigativo Il punto che merita attenzione non è tanto l’arresto in sé, quanto il meccanismo che lo ha reso possibile. **Microsoft ha agito su richiesta legale**, non in modo autonomo, ma la quantità e la granularità dei dati consegnati è notevole. Attività web, gaming, posizioni, strumenti usati: tutto era lì, archiviato e recuperabile. Per chi usa Windows nella convinzione che gli strumenti di anonimizzazione bastino a coprire le proprie tracce, questo caso è una lezione concreta. Il sistema operativo è uno strato che spesso si dimentica, ma che osserva tutto. La vicenda di Stokes non cambia le regole del gioco per l’utente comune, che non ha motivo di preoccuparsi della telemetria standard, ma chiarisce quanto sia ingenuo pensare di operare nell’ombra su un sistema Windows connesso a un account Microsoft. La ricostruzione disponibile si basa su documenti del tribunale e fonti secondarie: alcuni dettagli potrebbero emergere o modificarsi nelle fasi successive del processo.