معرّف ويندوز الصامت يفضح مخترقًا: كيف اعتقل الـFBI عضو Scattered Spider رغم الـVPN

ظنّ المخترق أنه محتمٍ خلف شبكة افتراضية خاصّة (VPN) وعناوين إنترنت موزّعة عبر ثلاث دول. لكنّ ما لم يحسب حسابه أن جهازه نفسه كان يترك بصمةً ثابتةً لا يغيّرها أيّ VPN. هذه قصّة كيف ساعد معرّفٌ داخليّ في نظام ويندوز مكتب التحقيقات الفيدراليّ (FBI) على تعقّب واعتقال بيتر ستوكس، الشابّ البالغ 19 عامًا المتّهم بالانتماء إلى مجموعة الاختراق الشهيرة Scattered Spider، رغم كل طبقات إخفاء الهوية التي استخدمها.

القضية باختصار

وفق شكوى جنائية مقدّمة في المنطقة الشمالية لولاية إلينوي، ستوكس (مواطن أمريكيّ-إستونيّ بأسماء مستعارة منها «Bouquet») متّهم في هجوم مايو 2025 على شركة مجوهرات فاخرة تشير إليها الوثائق باسم «Company F». اعتُقل في هلسنكي في العاشر من أبريل أثناء محاولته الصعود إلى رحلة متّجهة إلى اليابان، ثم سُلّم إلى الولايات المتّحدة حيث يبقى قيد الاحتجاز بانتظار المحاكمة، متّهمًا بالتآمر والتسلّل الحاسوبيّ والاحتيال. وتُنسب لمجموعة Scattered Spider (المعروفة أيضًا بأسماء Octo Tempest وUNC3944) أكثر من مئة هجوم وابتزاز تجاوز مئة مليون دولار.

ما «المعرّف العالميّ للجهاز» (GDID)؟

مفتاح القضية معرّفٌ اسمه GDID (Global Device Identifier): رقم فريد تسنده Microsoft لكل تنصيب لنظام ويندوز، وتستخدمه لأغراض تقنية مشروعة كبيانات التشخيص (Telemetry) وتقارير الأعطال وتحليل استخدام الميزات والتحقّق من التراخيص. النقطة الجوهرية أن هذا المعرّف «ثابت وعنيد»: لا يتغيّر بتبديل عنوان الإنترنت عبر VPN، ويصمد عبر تحديثات النظام، ولا يتبدّل إلا بإعادة تنصيب ويندوز من الصفر. ولشدّة ارتباطه بالجهاز، قد يؤدّي تبديل مكوّن عتاديّ رئيسيّ إلى إبطال تفعيل ويندوز نفسه.

الخطأ القاتل: دقيقة واحدة كشفت كل شيء

هنا يكمن جوهر القصّة. أنشأ المخترق حسابًا على أداة ngrok (أداة نفقٍ شرعية تُستخدم أحيانًا لبناء أنفاق إلى الشبكات المخترَقة) عبر عنوان VPN، ظنًّا أنه غير قابل للتتبّع. لكنّ سجلّات Microsoft أظهرت أن نفس معرّف GDID (المنتهي بالرقم 6755467234350028) وصل إلى صفحة تسجيل ngrok في اللحظة نفسها تمامًا التي أُنشئ فيها الحساب، في 12 مايو 2025 الساعة 19:21 بالتوقيت العالميّ. دقيقة واحدة، جهاز واحد، بصمة واحدة — كانت كافيةً لفتح ثغرة اتّسعت حتى مذكّرة الاعتقال.

كيف ربطوا الجهاز بالإنسان؟

المعرّف وحده لا يُدين أحدًا؛ فالعمل الحقيقيّ كان في ربطه. فقد قارن محقّقو مكتب شيكاغو، ضمن عملية «Operation Riptide»، تاريخ عناوين الإنترنت المرتبطة بهذا الـGDID مع حسابات معروفة تخصّ ستوكس: Apple وSnapchat وFacebook، بل وحساب ألعاب على Ubisoft مرتبط بلعبة Growtopia. وكانت التقاطعات محدّدة بدقّة: ظهر الجهاز نفسه وحساباته الشخصية على عناوين إنترنت متطابقة في تالين (إستونيا) ونيويورك وتايلاند، متقاطعةً مع سجلّات سفره الرسمية وصور نشرها بنفسه من فنادق فاخرة على Snapchat. تسجيلُ دخوله بحسابه الشخصيّ من العنوان نفسه أنهى غموض هويّته.

الدرس التقنيّ: طبقة الشبكة ليست طبقة الجهاز

الدرس الجوهريّ لهذه القضية أن الـVPN يُخفي «طبقة الشبكة» فقط، أي عنوان الإنترنت الظاهر للخارج. لكنه لا يفعل شيئًا حيال ما «يبثّه» نظام التشغيل نفسه إلى خوادم الشركة المطوّرة له. كما لخّص التحليل التقنيّ للقضية: «أخفى الـVPN نقطة نهاية الشبكة، لكنّ معرّف تنصيب ويندوز لم يتبدّل معه». بنية إخفاء الهوية تحمي طبقة الاتصال، لا نقطة النهاية (الجهاز). وهذا مبدأ يعرفه محترفو الأمن جيّدًا: إخفاء عنوانك لا يعني إخفاء جهازك.

الوجه المقلق: سؤال يخصّ الجميع لا المجرمين فقط

مع أن القضية انتهت باعتقال متّهم بجرائم خطيرة، فإنها تطرح سؤالًا يقلق المستخدم العاديّ أيضًا. فبحسب تقارير، لا توجد سياسة عامّة مفصّلة تحدّد متى تُشارَك بيانات GDID مع جهات إنفاذ القانون، ولا آلية معلنة للمستخدم للانسحاب (Opt-out)، ولا تقرير شفافية يفصّل طلبات هذا المعرّف تحديدًا. هذا يعني، بحسب المختصّين، أن على كل من يقدّر خصوصيته أن يفترض أن جهازه يترك أثرًا ثابتًا مهما أخفى شبكته. لا داعي للذعر، لكنها حقيقة يجب أخذها في الحسبان. ولمن يريد تقليل ما يُبَثّ، يمكن ضبط بيانات التشخيص إلى الحدّ الأدنى من إعدادات الخصوصية في ويندوز — وإن كان ذلك لا يزيل الـGDID نفسه.

تبقى هذه القضية درسًا مزدوجًا. للمدافعين ومحقّقي الجرائم الرقمية، هي تذكير بأن أخطاء «أمن العمليات» (OpSec) الصغيرة — كاستخدام جهاز شخصيّ في عملية إجرامية — تهزم أقوى أدوات إخفاء الهوية. وللمستخدم العاديّ، هي نافذة على عمق التتبّع الصامت في الأنظمة التي نستخدمها يوميًّا. وفي الحالتين، القاعدة واحدة: الخصوصية لا تُبنى على أداة واحدة، بل على فهم كل الطبقات التي يترك جهازك بصمته فيها.