Microsoft pomógł FBI zatrzymać cyberprzestępcę. Wszystko dzięki danym z Windowsa

Amerykański Departament Sprawiedliwości poinformował o zatrzymaniu 19-letniego Petera Stokesa, obywatela Stanów Zjednoczonych i Estonii, który według śledczych należał do grupy Scattered Spider. W całej operacji ważną rolę odegrały nie tylko FBI oraz fińskie służby, ale także dane przekazane przez Microsoft, które pozwoliły powiązać aktywność komputera podejrzanego z konkretnymi działaniami prowadzonymi w internecie.

Stokes został zatrzymany na lotnisku w Helsinkach podczas próby wejścia na pokład samolotu lecącego do Japonii. Następnie został przekazany do Stanów Zjednoczonych, gdzie usłyszał zarzuty dotyczące spisku, włamań komputerowych oraz oszustw. Obecnie oczekuje na dalszy przebieg procesu przed sądem federalnym.

Microsoft pomógł ująć cyberprzestępcę

Według amerykańskiego Departamentu Sprawiedliwości grupa Scattered Spider, znana również pod nazwami Octo Tempest, UNC3944 oraz Oktapus, miała wyłudzić od swoich ofiar ponad 100 milionów dolarów. Organizacja zasłynęła przede wszystkim z wykorzystywania technik socjotechnicznych zamiast klasycznych metod włamywania się do systemów.

Amerykański Departament Sprawiedliwości poinformował o zatrzymaniu 19-letniego Petera Stokesa, obywatela Stanów Zjednoczonych i Estonii, który według śledczych należał do grupy Scattered Spider. W całej operacji ważną rolę odegrały nie tylko FBI oraz fińskie służby, ale także dane przekazane przez Microsoft, które pozwoliły powiązać aktywność komputera podejrzanego z konkretnymi działaniami prowadzonymi w internecie.

> Peter Stokes
> Scattered Spider guy
> Arrested
> Microsoft helps FBI
> Read court documents
> Page 12
> Microsoft tracks Stokes from GDID
> Microsoft Global Device Identifier (GDID)
> Stokes used Windows
> Page 34
> GDID assigned to each OS install
> GDID unique to each device… pic.twitter.com/f0fuz0uoMa

— vx-underground (@vxunderground) July 4, 2026

Śledczy twierdzą, iż jednym z najważniejszych dowodów w sprawie był atak z maja 2025 roku na amerykańską firmę jubilerską. Napastnicy mieli zadzwonić do działu wsparcia technicznego, podszywając się pod pracowników przedsiębiorstwa i przekonać obsługę do zresetowania danych logowania.

Dzięki temu uzyskali dostęp do trzech kont użytkowników, w tym dwóch z uprawnieniami administratora, a następnie wykradli dane i zażądali okupu w wysokości 8 milionów dolarów w kryptowalutach. Firma odzyskała dostęp do swojej infrastruktury bez płacenia, jednak oszacowała straty na około 2 miliony dolarów.

Istotnym elementem śledztwa okazały się informacje pochodzące z Global Device Identifier. Jest to unikalny identyfikator przypisywany instalacjom systemu Windows, wykorzystywany między innymi do telemetrii urządzenia.

Według dokumentów sądowych Microsoft przekazał śledczym dane pozwalające powiązać komputer podejrzanego z określoną aktywnością internetową. W materiałach miały znaleźć się m.in. informacje o adresach IP, historii aktywności, używanych narzędziach, statusie usług Azure oraz znacznikach czasowych.