2026년 7월, 미국 법무부가 39쪽 분량의 형사 기소장을 공개했다. 피고인은 19세 피터 스토크스(Peter Stokes)로, 2025년 5월 미국의 한 럭셔리 주얼리 업체를 해킹해 800만 달러를 요구한 혐의를 받고 있다.
스토크스는 VPN, 프록시 서버, 각종 회피 도구를 동원했고, IP 주소는 에스토니아, 뉴욕, 태국 등 네 나라에 걸쳐 있었다. 상식적으로 인터넷에서 사람을 추적할 때 IP 주소가 바뀌면 단서는 끊긴다.
하지만 FBI는 그를 찾아냈다. 결정적 증거는 Microsoft가 자동으로 생성한 일련의 숫자였다: g:6755467234350028.
이 숫자를 GDID라고 한다 — Global Device Identifier, 전역 장치 식별자. 기소장이 공개되기 전까지, 대다수 Windows 사용자는 이 이름을 들어본 적이 없었다. Microsoft가 이를 공개적으로 언급한 유일한 적은 Azure Monitor의 기업 기술 문서에서였고, 단 한 문장으로만 설명했다: 「Microsoft가 내부적으로 사용하는 식별자.」
Windows GDID는 시스템에 내장된 영구적인 장치 식별자다. 출처: ghacks
GDID란 무엇인가: 당신 컴퓨터의 “주민등록번호”
가장 쉽게 말하자면: GDID는 Microsoft가 당신 컴퓨터에 자동으로 부여하는 영구 번호다. Windows를 설치하거나 Microsoft 계정으로 로그인하는 순간 이 번호가 생성된다.
그것은 하드웨어 코드가 아니다 — 하드웨어는 교체할 수 있다. IP 주소도 아니다 — IP는 수시로 바뀐다. 그것은 Microsoft 서버가 이 기계에 「발급」한 신분 번호로, 한번 생성되면 이 컴퓨터의 Windows 시스템에 묶이고, 시스템 업데이트나 네트워크 전환도 그 존재에는 영향을 주지 않는다.
생김새는? 보통 「g:」로 시작하는 일련의 숫자로, 예를 들어 g:6755467234350028처럼 Windows 레지스트리 깊은 곳에 숨어 있어 일반 사용자는 볼 수 없다. 백그라운드에서 조용히 돌며, Windows 업데이트, 앱 스토어 사용, 시스템 데이터 보고 등 일상적인 작업과 함께 주기적으로 Microsoft 서버로 전송된다.
「Microsoft 서버로 전송된다」는 말이 불편하게 느껴진다면 — 그 감정은 당연하다.
작동 방식: 보이지 않는 생산 라인
GDID의 생성과 보고는 완전 자동화된 라인처럼 흐르고, 사용자가 개입할 여지는 거의 없다.
첫째 단계: Microsoft 계정으로 Windows에 로그인하면, 백그라운드에서 wlidsvc라는 서비스가 자동으로 Microsoft 로그인 서버(login.live.com)에 접속해 기기 전용 신분 번호를 요청한다. 이 번호는 Microsoft 서버가 직접 발급한 뒤 당신의 컴퓨터에 넘긴다.
둘째 단계: 이 번호는 Windows 레지스트리에 기록된다 — 위치는 HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties. 시스템 깊은 곳에 숨겨진 서류함처럼, 겉으로는 아무것도 보이지 않는다.
셋째 단계: Windows 내 여러 백그라운드 서비스가 이 번호를 읽는다. 일상적으로 쓰는 「휴대폰 연결」, 「클라우드 클립보드」, 「근처 공유」 같은 기능이 모두 이를 호출한다. 이 서비스들은 번호를 Microsoft의 「장치 디렉터리 서비스」에 등록해 완전한 장치 신분 지도를 형성한다.
넷째 단계, 그리고 가장 핵심적인 단계: Windows의 「배달 최적화」 기능 — 즉, LAN 내 다른 컴퓨터에서 업데이트를 빠르게 받아오도록 돕는 그 기능 — 이 실행될 때마다 GDID 번호와 함께 당신의 IP 주소와 타임스탬프를 Microsoft 서버로 함께 보고한다.
즉, Microsoft는 당신에게 번호가 있다는 것뿐만 아니라, 그 번호가 어떤 시간에 어떤 IP를 썼는지도 안다. 이 정보를 이어 붙이면 완전한 장치 활동 타임라인이 된다.
FBI가 이걸로 어떻게 사람을 잡았나
스토크스는 자신이 영리하다고 생각했다. VPN으로 실제 IP를 숨기고, 프록시 서버로 트래픽을 중계했으며, 심지어 여러 나라 사이에서 네트워크 신분을 바꿨다. 하지만 그가 놓친 것이 있었다: IP가 아무리 바뀌어도 그의 컴퓨터에 깔린 Windows 시스템은 바뀌지 않았다는 점.
기소장의 설명에 따르면 FBI의 수사 경로는 대략 이렇다:
먼저, 피해 주얼리 업체의 웹사이트가 공격자의 IP 주소 — Tzulo라는 VPN 제공 업체 소속 — 를 기록했다. 동시에 수사관들은 공격자가 이번 작전을 위해 ngrok(네트워크 터널링 도구) 계정을 하나 등록한 것을 발견했다. 등록 시간과 IP가 맞아떨어졌다.
다음으로 FBI는 Microsoft에 데이터를 요청했다: 이 시점에, 이 IP 주소를 사용한 장치의 GDID 번호는 무엇인가? 답이 돌아왔다: g:6755467234350028.
그런 다음 FBI는 역추적 조회를 했다: 이 GDID 번호가 또 어느 IP 주소에 나타났는가? Microsoft 기록에 따르면, 동일한 GDID가 8개월에 걸쳐 에스토니아, 뉴욕, 태국 등 여러 장소에 잇따라 나타났고, 매번 다른 VPN 노드에 접속해 있었다.
마지막 단계: FBI는 이 IP 주소들을 스토크스의 Snapchat, Facebook, Apple 계정, 유비소프트 게임 플랫폼 로그인 기록과 교차 대조했다 — 시간도 맞고 장소도 맞았다. 그가 Snapchat에 공개적으로 올린 사진이 GDID 기록의 여행 타임라인과 완벽히 일치했다.
2026년 4월, 스토크스는 헬싱키 공항에서 일본행 비행기를 타려다 핀란드 경찰에 제지됐다. 인터폴(Interpol)의 적색 수배가 그가 그 비행기에 오르지 못하게 했다.
FBI가 GDID를 이용해 VPN과 다국적 네트워크를 관통해 용의자를 특정했다. 출처: WindowsLatest
진짜로 불안한 지점
GDID가 논란을 일으키는 핵심은 한 가지 사실에 있다: 끌 수 없다는 점.
Apple 휴대폰의 광고 식별자는 사용자가 초기화할 수 있다. Android도 비슷한 제어 옵션을 제공한다. Apple은 심지어 앱이 추적 허용 여부를 묻는 팝업을 띄우도록 요구한다 — 바로 그 「앱이 추적을 요청하도록 허용」 팝업이다.
GDID는 아무것도 없다. 동의를 묻는 팝업이 없다. 끄는 스위치가 없다. 초기화하는 버튼이 없다. 보안 연구가 매튜 히키(Matthew Hickey)는 이 사건을 논하며 Windows를 아예 「감시 소프트웨어」라고 불렀다.
더 불편한 것은 투명성 문제다. Microsoft가 이 번호에 대해 공개한 설명은 Azure Monitor 문서 전체에서 단 한 문장뿐이다: 「Microsoft 전역 장치 식별자. 이는 Microsoft가 내부적으로 사용하는 식별자입니다.」 한 문장, 십수 개의 영어 단어. 어떻게 생성되는지, 어떻게 전송되는지, 얼마나 보관되는지, 누가 접근할 수 있는지 — 이는 일절 설명하지 않는다.
독립 보안 연구자들은 GDID의 작동 메커니즘을 이해하기 위해 역공학(reverse engineering)에 의존해야 했다. 그들은 GDID 생성을 강제로 막으면 Windows 정품 인증에 문제가 생기고 앱 스토어 앱도 정상적으로 쓸 수 없게 된다는 것을 발견했다. GDID는 Windows 핵심 기능에 깊게 묶여 있어 단독으로 뽑아낼 수 없다.
또 주목할 만한 세부 사항이 있다. Microsoft는 기소장 각주에서 한 Microsoft 계정이 여러 GDID와 연결될 수 있다고 인정했다. 즉, 설령 시스템을 재설치해 새 번호를 얻더라도, Microsoft는 여전히 당신의 계정, OneDrive, 정품 인증 기록 등을 통해 신구 번호를 연결할 수 있다.
각자의 입장: 유일한 정답은 없다
이것은 단순한 선악 이야기가 아니다. 각 주체는 저마다의 관점에서 전혀 다른 그림을 본다.
법집행 기관의 관점에서 GDID는 강력한 포렌식 도구다. 스토크스 사건에서 VPN을 뚫고 들어가는 추적 앵커인 GDID가 없었다면, 수사는 연관 지을 수 없는 VPN IP 주소 더미에서 멈췄을 가능성이 크다. GDID는 법집행 기관이 익명 계층을 뚫고 범죄 행위를 구체적 장치에 연결하게 해준다. 기술적 수단으로 신분을 숨긴 범죄자에게는 효과적인 견제다.
프라이버시 보호의 관점에서 비활성화할 수 없고 사용자 동의가 필요 없는 영구 장치 식별자는 어떤 기준으로 보아도 설계상 위험 신호다. 문제는 「이론상 어떤 목적으로든 쓰일 수 있다」는 점이다. 오늘은 FBI의 형사 수사, 내일은? 광고 네트워크? 보험사? 정치적 감시? 설계 단계부터 추적을 위한 여지를 남겨둔 시스템의 사용자가 영원히 「착한 사람」일 리 없다.
Microsoft의 관점에서 GDID의 본래 설계 목적이 반드시 사용자를 추적하는 것은 아니다 — 주로 소프트웨어 라이선스 관리, 앱 스토어 운영 유지, 크로스 디바이스 협업 기능 지원에 쓰인다. 하지만 문제는 이런 「인프라급」 식별자가 한번 존재하면 너무 많은 시스템 구성 요소에 박혀버린다는 점이다. 제거하려면 Windows의 핵심 아키텍처를 다시 써야 한다.
Lobsters 토론에서 한 댓글이 계속 인기로 올라왔다: 「이 일로도 더 많은 사람이 경각심을 못 깨우면, 다음은 해커 잡는 문제가 아닐 것이다.」 또 다른 이는 「진짜 해결책은 운영체제를 바꾸는 것」이라고 했다. 하지만 16억 Windows 사용자에게 운영체제 교체는 가볍게 입에 올릴 제안이 아니다.
Windows 11의 프라이버시 설정에서는 GDID 관련 제어 옵션을 어느 것도 찾을 수 없다. 출처: WindowsLatest
일반 사용자가 할 수 있는 일
솔직히 말해, Microsoft 생태계에 이미 깊게 들어온 일반 사용자에게 현재 할 수 있는 대응은 꽤 제한적이다. 필자가 정리한 다음 단계들은 기존 조건 하에서 관련 위험을 줄일 수 있는 몇 가지다:
첫째, 가능한 한 Microsoft 계정 대신 로컬 계정을 쓰라. Windows 11은 최근 몇 버전에서 로컬 계정 생성 진입로를 좁혔지만, 설치 시 인터넷 연결 단계를 건너뛰거나 설정에서 「로컬 계정으로 로그인 전환」을 찾는 길은 여전히 열려 있다. GDID 생성은 Microsoft 계정과 깊게 묶여 있어, 로컬 계정은 간접적인 격리다.
둘째, 불필요한 진단 데이터 보고를 끄라. 경로: 설정 → 개인정보 및 보안 → 진단 및 피드백 → 「선택적 진단 데이터 보내기」 끄기. 이로써 GDID가 사라지지는 않지만, 함께 보고되는 다른 정보를 줄일 수 있다.
셋째, 개인화 광고와 활동 추적을 꺼라. 「개인정보 및 보안」 → 「추천 및 혜택」에서 모든 옵션을 끈다. 「검색 권한」에서 「클라우드 콘텐츠 검색」을 비활성화해 로컬 검색 내용이 Microsoft 서버로 가는 것을 막는다.
넷째, 활동 기록을 정기적으로 점검하라. 개인정보 설정에서 「활동 기록」을 보고 필요 없는 동기화 옵션을 끈다. 이 조작들은 GDID 자체에는 닿지 않지만, 당신의 행동 데이터가 Microsoft 생태계 안에서 연결될 확률을 줄일 수 있다.
다섯째는 다소 극단적일 수 있으나 언급할 가치가 있다: 프라이버시 요구가 높고 일정한 학습 비용을 감수할 수 있다면, 이런 추적 메커니즘이 내장되지 않은 운영체제(예컨대 일부 Linux 배포판)로 이주하는 것은 장기적으로 고려할 만한 선택이다. 이는 일괄적인 조언도 아니고 모두와 모든 상황에 맞는 것도 아니다. 하지만 확실히 존재하는 선택지다.
더 큰 문제
GDID 사건이 진지한 논의를 할 만한 이유는, 점점 더 날카로워지는 모순에 닿아 있기 때문이다: 당신의 운영체제가 동시에 당신의 서비스 제공자일 때, 그 충성심은 어느 쪽에 서야 하는가?
Windows는 이미 당신 하드디스크 안의 시스템 그 이상이다. 그것은 Microsoft의 클라우드, Microsoft의 계정 체계, Microsoft의 앱 스토어, Microsoft의 AI 비서와 연결되어 있다. 그 비즈니스 모델은 「소프트웨어 판매」에서 「서비스 판매」로 바뀌고 있다 — 그리고 서비스의 세계에서 사용자 데이터는 기초 화폐다.
GDID는 하나의 경고다: 클라우드 컴퓨팅과 AI의 시대에, 당신 컴퓨터에서 가장 「바닥」에 있는 그 시스템이 이미 단순한 도구가 아닐지 모른다. 그것은 동시에 센서이자 기록 장치이자 신분 앵커다.
그리고 그것이 기본적으로 어느 쪽에 서 있는가 — 이 질문에 Microsoft는 아직 모두를 안심시킬 답을 내놓지 않았다.
참고 링크:
- ghacks: Microsoft가 비활성화 불가능한 Windows GDID 장치 식별자를 확인했으며, FBI 사건 기록에 이미 등재됨
- WindowsLatest: Microsoft가 꺼질 줄 모르는 Windows 11 GDID 추적기를 인정
- Lobsters 토론 (s/agkcmz)
- FBI 관련 사건 기록
