Global Device ID en Windows: Windscribe lanza script de privacidad

El pasado 28 de julio de 2026, el proveedor de servicios VPN enfocado en la privacidad Windscribe revolucionó la comunidad de la ciberseguridad al hacer público un script informático experimental ideado para neutralizar el Global Device ID (GDID) oculto en el sistema operativo Windows. La iniciativa surge en respuesta directa a una preocupante revelación judicial que confirmó cómo Microsoft rastrea de forma silenciosa y permanente la actividad de los usuarios a través de una huella digital incrustada en el propio núcleo del sistema. Dicha huella transfiere identificadores unívocos incluso cuando el tráfico de red transita por túneles cifrados de VPN o servidores proxy. La controversia estalló tras salir a la luz pública documentos del Departamento de Justicia de los Estados Unidos en los que se detalló cómo el FBI utilizó el Global Device ID de una PC para identificar y rastrear a Peter Stokes, un joven de 19 años presuntamente vinculado al grupo de ciberdelincuencia Scattered Spider, a través de tres países distintos a pesar de sus medidas de anonimización.

Este hallazgo ha encendido las alarmas entre defensores de la privacidad, investigadores y administradores de sistemas en toda América Latina y el mundo. Hasta ahora, la creencia generalizada dictaba que la combinación de un servicio VPN con la desactivación de las herramientas convencionales de telemetría bastaba para garantizar un anonimato operativo aceptable. Sin embargo, las evidencias presentadas en los tribunales federales han demostrado que la arquitectura de telemetría de Microsoft opera a un nivel mucho más profundo que el tráfico de IP exterior, asociando de forma indeleble la identidad del hardware con los servidores en la nube de la compañía. Frente a la ausencia total de un interruptor de desactivación nativo por parte de Microsoft, la herramienta experimental de Windscribe representa el primer intento técnico de la industria por erradicar este mecanismo de rastreo profundo.

¿Qué es exactamente el Global Device ID y cómo rastrea su equipo?

El Global Device ID es un identificador persistente de 64 bits generado automáticamente durante la configuración inicial de Windows o al iniciar sesión por primera vez con una cuenta de Microsoft (MSA). En el Registro de Windows, este identificador se almacena como una cadena hexadecimal de 16 caracteres en la ruta HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties dentro de la clave denominada LID. Internamente, en la arquitectura de software de Microsoft, esta clave se expresa en formato decimal precedida por el prefijo “g:” (por ejemplo, g:6943049711865036) y se conoce como Device PUID (Passport Unique Identifier), una herencia técnica que se remonta a la infraestructura del antiguo sistema .NET Passport.

A diferencia de las cookies de navegación comercial o el identificador publicitario estándar (Advertising ID), el Global Device ID no es un valor volátil ni fácilmente personalizable a través de la interfaz de usuario. La arquitectura subyacente responsable de su creación y mantenimiento involucra varios servicios centrales del sistema operativo que interactúan en segundo plano:

• wlidsvc.dll (Microsoft Account Sign-in Assistant): Es el servicio ejecutable que se comunica directamente con los servidores de identidad de Microsoft (login.live.com) para solicitar, recibir y almacenar el identificador PUID de dispositivo y de usuario en el registro local.
• CDPSvc (Connected Devices Platform / cdp.dll): Servicio encargado de extraer el Global Device ID desde el registro y vincularlo al ecosistema Device Directory Service (DDS), integrando la instalación local con los feeds en la nube del sistema.
• dosvc (Delivery Optimization / UCDOStatus.GlobalDeviceId): El componente de optimización de distribución que retransmite activamente este identificador a los servidores centrales cada vez que la PC descarga o comparte paquetes de actualizaciones de Windows.
• Iris Service (IrisActionCreatives): El subsistema responsable de entregar contenidos dinámicos a la barra de tareas y al menú de inicio, el cual adjunta el identificador del dispositivo en los encabezados de sus peticiones HTTP/S de fondo.

Por qué las redes VPN no pueden ocultar el Global Device ID

El núcleo de esta vulnerabilidad de privacidad radica en la separación conceptual entre la capa de red y la capa de aplicación dentro del sistema operativo. Una red privada virtual (VPN) opera en la capa de red (Capa 3/4 del modelo OSI), cifrando los paquetes de datos y reemplazando la dirección IP pública del usuario por la del servidor del proveedor VPN. Esto oculta eficazmente la ubicación geográfica y la identidad del proveedor de servicios de Internet (ISP) ante los sitios web externos que el usuario visita a través del navegador.

Sin embargo, la telemetría interna impulsada por el Global Device ID no depende de la dirección IP para identificar el equipo. Cuando Windows realiza peticiones de fondo a las APIs de Microsoft —ya sea para consultar actualizaciones, sincronizar widgets, verificar la licencia o cargar la barra de tareas—, el propio sistema operativo empaqueta la cadena del Global Device ID dentro de la carga útil (payload) del protocolo de aplicación cifrado. La petición viaja de forma segura dentro del túnel VPN hacia los servidores de Microsoft; pero una vez que el paquete llega a su destino y se desencripta en los centros de datos de la empresa, el servidor lee el Global Device ID incrustado en los datos.

De esta manera, aunque la dirección IP de origen cambie constantemente entre diferentes países o nodos VPN, el servidor de Microsoft registra sistemáticamente que el identificador g:XXXXXXXXXXXXX se ha conectado sucesivamente desde múltiples direcciones IP. Para una agencia de aplicación de la ley que obtenga una orden judicial o citación contra Microsoft, basta con correlacionar las bitácoras de los servidores para mapear la trayectoria completa de un mismo dispositivo a lo largo del tiempo, neutralizando por completo las capas de anonimato de la VPN.

El proyecto “deGDID” de Windscribe: Neutralización y costos operativos

Ante este escenario, la firma Windscribe desarrolló el script experimental denominado deGDID. La solución no se limita simplemente a eliminar el valor LID en el Registro de Windows, ya que los análisis de ingeniería inversa demostraron que borrar dicha clave en frío provoca que el servicio wlidsvc vuelva a consultar a login.live.com y regenere automáticamente el Global Device ID o restaure el PUID del usuario la próxima vez que el sistema se conecte a Internet.

Para lograr una purga efectiva y permanente, el script de Windscribe ejecuta un proceso de múltiples etapas sobre el núcleo del sistema operativo:

1. Purga de claves de identidad: Elimina las cadenas hexadecimales registradas en IdentityCRL\ExtendedProperties y destruye los tokens cifrados con DPAPI (Data Protection API) almacenados en IdentityCRL\Immersive\production\Token.
2. Desactivación de servicios de telemetría: Inhabilita de forma permanente los servicios de fondo clave, incluyendo Delivery Optimization (dosvc), Connected Devices Platform (CDPSvc / CDPUserSvc) y el asistente de inicio de sesión de cuentas de Microsoft (wlidsvc).
3. Bloqueo de endpoints de red: Aplica reglas estrictas en el archivo de hosts local y en el cortafuegos de Windows para bloquear el tráfico dirigido a login.live.com y a los servidores de autenticación de identidades de Microsoft.

No obstante, la neutralización forzada del Global Device ID conlleva consecuencias severas para la funcionalidad cotidiana de la PC. Dado que Windows 10 y Windows 11 fueron diseñados con una dependencia estructural hacia la nube de Microsoft, el empleo de esta herramienta rompe intencionalmente varias características nativas del sistema:

• Microsoft Store y compras digitales: La tienda de aplicaciones deja de funcionar por completo, impidiendo la descarga o actualización de software y juegos adquiridos previamente.
• Verificación de licencias digitales: La validación de licencias vinculadas a cuentas de Microsoft se interrumpe, lo que puede provocar advertencias de activación del sistema operativo.
• Ecosistema de sincronización y conectividad: Se pierden permanentemente las funciones de Enlace con el Teléfono (Phone Link), la sincronización de configuraciones entre dispositivos y la función “Continuar en la PC”.
• Actualizaciones distribuidas: Se inhabilita la Optimización de Distribución, forzando a Windows Update a descargar el 100% de los datos directamente desde los servidores de Microsoft sin aprovechar la red local.

Implicaciones en la privacidad y el debate en la industria informática

La publicación de estos detalles técnicos y del script de Windscribe ha desatado un acalorado debate dentro de la industria tecnológica. Dave Plummer, exingeniero de Microsoft acreditado por la creación del Administrador de Tareas y el sistema de activación de productos, intentó defender la inclusión del identificador argumentando que se trata de una medida técnica legítima para la gestión de licencias, la prevención de fraudes y el diagnóstico de parches de seguridad. Sin embargo, la comunidad de ciberseguridad en plataformas como X (Twitter) y GitHub refutó sus posturas mediante Notas de la Comunidad y análisis de código, señalando que la falta de transparencia y la imposibilidad de rechazar el seguimiento mediante un interruptor de opt-out transforma la función en un mecanismo de vigilancia pasiva irrechazable.

Para la comunidad de usuarios, activistas de la privacidad y profesionales de la seguridad informática en América Latina, el caso del Global Device ID marca un hito crítico en la relación con el software propietario. Muestra con claridad que los límites del anonimato digital no concluyen al contratar un proveedor VPN de primer nivel, sino que están definidos por la confianza que se deposita en el sistema operativo residente en la máquina.

El script experimental de Windscribe no es una solución mágica apta para todo público; es una herramienta concebida para entornos de alta amenaza donde el anonimato absoluto prima sobre la comodidad del usuario. La controversia actual obliga a reflexionar sobre la propiedad real de nuestro hardware: si un usuario no puede desactivar un identificador que rastrea su equipo en segundo plano sin romper el sistema operativo, queda en evidencia que el control supremo sobre la computadora ya no pertenece al usuario que la compró, sino a la corporación que diseñó su código.