鐵證如山！微軟被爆秘密監控全球16億Windows用戶網民：逼人轉用Mac機？

| Fung Chun Man | 28-07-2026 17:55 |

在Google
追蹤《e-zone》

美國一宗跨國網絡犯罪案之訴訟文件揭示，微軟Windows操作系統內置未公開的「全球設備標識符」（GDID）。該持久性設備級識別碼由伺服器生成並寫入本機，涵蓋全球約16億台裝置，執法機關曾以此成功追蹤黑客身份。

即刻【按此】，用 App 睇更多產品開箱影片

美黑客案意外揭露微軟追蹤機制全球16億Windows PC設備持久標識符GDID運作架構剖析

【科技專題報道】美國近期審理的一宗跨國網絡犯罪案件，意外揭示微軟（Microsoft）一項未曾公開說明的系統追蹤機制：全球設備標識符（Global Device Identifier，簡稱 GDID）。該標識符屬持久性、設備級別的識別碼，綁定於每台安裝 Windows 操作系統的裝置上。目前全球估計約有 16 億台個人電腦（PC）及虛擬機受此機制影響。

執法機關首獲確認微軟秘密監控機制浮出水面

GDID 機制的曝光，源於美國執法機構對黑客組織 Scattered Spider 成員的調查。19 歲擁有美國與愛爾蘭雙重國籍的公民 Peter Stokes，於今年 4 月在赫爾辛基機場被國際刑警組織（Interpol）紅色通緝令拘捕，並於 6 月引渡至芝加哥出庭應訊。Stokes 被指控參與超過 100 宗網絡入侵事件。資料顯示，該黑客組織於 2025 年 5 月入侵一家奢侈品珠寶零售商，透過冒充員工致電 IT 支援熱線，利用社交工程學手法重置登入憑證及多重認證（MFA），成功竊取至少 77 GB 資料，並勒索約 800 萬美元加密貨幣。

雖然被告在實施網絡攻擊期間使用了網絡代理服務（Proxy VPN）及多個虛構身份以隱匿真實網絡位址，但美國聯邦調查局（FBI）透過向微軟調取資料，取得其設備的 GDID。調查人員發現，同一 GDID 曾在攻擊者建立 ngrok 帳戶時連接註冊頁面，並於數小時後透過相同的代理服務存取受害者網站。此外，該 GDID 亦出現在愛沙尼亞塔林、紐約及泰國等地的 IP 地址存取記錄中，時間跨度達數月，且與被告的旅遊行程及社交媒體相片高度吻合，形成完整的證據鏈。

這是 GDID 首次在公開法律訴訟中被用作追蹤標識符，並獲微軟官方確認其存在，成為該機制從內部運作轉向公眾視野的關鍵轉折點。

Windows系統底層運作機制：伺服器生成與登錄檔儲存

根據微軟在 United States v. Peter Stokes 案訴訟文件中之描述，GDID 被定義為「一個持久的設備級標識符，用於唯一識別設備上 Windows 操作系統的安裝」。該標識符為 64 位元數字，格式為前綴 g: 後接一長串數字，由微軟外部伺服器生成後寫入本機系統。

Windows系統設定Microsoft帳戶時自動配發GDID

GDID 的生成與註冊流程於系統初始化階段完成。當 Windows 系統設定 Microsoft 帳戶時，Passport 身份驗證服務會主動與微軟伺服器通訊，伺服器隨即生成並傳回該標識符。系統隨後將其寫入本機登錄檔（Registry）指定路徑：

HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties（LID 鍵值）

完成本機寫入後，Windows 的連線設備平台（Connected Devices Platform）會將該 GDID 註冊至微軟跨設備身份系統「設備目錄服務」（Device Directory Service），完成從本機端至雲端身份的雙向綁定機制。

重裝Windows系統與GDID歷史檔案累積之影響

技術分析指出，GDID 在 Windows 完成日常系統更新後保持不變，且在絕大多數系統設定變更後依然有效。若用戶選擇重新安裝 Windows 操作系統，系統會生成新的 GDID；然而，舊有的標識符以及微軟伺服器上所關聯的所有歷史活動記錄並不會隨之消除。微軟伺服器端所建立的 GDID 檔案屬於累積性質，用戶在設備上的各項活動均會持續補充該數據庫。

Windows GDID 核心功能

獨立安全研究人員對該機制進行逆向工程後發現，GDID 的應用範圍涵蓋 Windows 操作系統的多個核心功能鏈路：

系統授權與應用程式消費： Windows 系統激活狀態與 GDID 綁定，Microsoft Store 的購買記錄及應用程式許可驗證均附帶該標識符，使應用程式商店內的交易行為與設備身份產生關聯。
跨設備連線與數據同步： 「手機連結」（Phone Link）功能依賴 GDID 建立流動裝置與 PC 之間的配對關係；跨設備剪貼簿同步功能亦透過 GDID 辨識設備身份，於背景執行裝置比對。
系統診斷與網絡瀏覽歷史： 常規 Windows 診斷數據均包含 GDID。若用戶開啟 Microsoft Edge 瀏覽器的增強診斷功能，網絡瀏覽歷史紀錄亦會與 GDID 綁定。在 Stokes 案中，執法機關即利用 Edge 瀏覽紀錄與 GDID 的關聯，在被告更換代理網絡的情況下持續進行身份追蹤。

用戶查詢方法與透明度爭議

使用PowerShell指令查詢本機GDID之步驟

Windows 用戶可透過內建的 PowerShell 工具，執行以下命令查詢當前設備的 GDID（該操作不需要管理員權限）：

GDID無法停用與微軟伺服器雙向驗證機制

雖然用戶可以查詢本機 GDID，但目前 Windows 系統內未提供任何可阻擋 GDID 生成或刪除微軟伺服器端歷史記錄的設定選項。網絡安全研究機構 Zerotrace Lab 曾嘗試利用自訂密匙替換本機登錄檔中的 GDID 值。實驗結果顯示，雖然本機登錄檔數值可被修改，但當微軟伺服器端記錄與本機不一致時，會導致部分 Windows 系統功能出現異常，證實 GDID 採用雙向驗證邏輯，非單純的本機標記。

現時主流操作系統均設有識別機制，但普遍具備用戶知情或自主選擇權：蘋果（Apple）透過 App 追蹤透明度（ATT）框架要求應用程式獲取用戶授權；谷歌（Google）允許 Android 用戶重置廣告 ID；Linux 發行版則透過開源代碼供公眾審查數據收集行為。相比之下，微軟此前關於 GDID 的唯一公開說明僅為 Azure Monitor 參考表中將 GlobalDeviceId 定義為「微軟內部使用的全球設備標識符」，未有提供獨立的說明頁面或用戶告知機制。

目前尚無證據顯示微軟將 GDID 數據提供予第三方廣告商，微軟官方文件亦聲明該標識符僅供內部使用。然而，執法機關可依法透過傳票或法院命令獲取相關數據。鑑於 Windows 系統涵蓋全球廣泛用戶，該識別碼之影響範圍、存在時間及資訊透明度，已引起網絡安全界與公眾對個人資料隱私的持續關注。

Source： ezone.hk、mydrivers

【相關報道】

【相關話題】Windows 用戶注意！Google 搜尋 Windows 軟件極危險！逾70個假網站專門散佈惡意軟件

外媒報導，有網絡攻擊者註冊超過 70 個偽造網域，冒充 PowerToys 及 Wintoys 等知名 Windows 工具軟體。攻擊者透過搜尋優化提升假網站排名，初期提供官方下載連結以建立信任，隨後利用流量分配系統篩選訪客並投放惡意程式。資安專家建議用戶透過官方應用商店或 GitHub 下載軟體，並於執行前檢查數位簽章與進行安全掃描。