Uma investigação conduzida por autoridades norte-americanas mostrou como metadados —informações que descrevem uma comunicação ou dispositivo, mas não necessariamente seu conteúdo — podem ser decisivos para identificar um hacker. O caso analisado pelo Cyber Security Brazil revela que a atribuição da identidade do suspeito foi possível graças à correlação de diferentes fontes de dados, sem depender exclusivamente de mensagens, arquivos ou conversas interceptadas.
No centro da investigação está um identificador conhecido como Global Device Identifier (GDID), utilizado em determinados serviços da Microsoft para reconhecer um mesmo ambiente Windows ao longo do tempo. Esse identificador permitiu aos investigadores relacionar diversas atividades realizadas a partir do mesmo dispositivo, mesmo quando ele utilizava redes ou endereços IP diferentes.
Os registros mostraram, por exemplo, que o mesmo dispositivo foi utilizado para criar uma conta no serviço ngrok e, poucas horas depois, acessar um site por meio de um servidor proxy associado à mesma operação. Embora essa coincidência temporal não fosse suficiente para identificar o responsável, ela se tornou uma peça importante quando combinada com outras evidências.
A investigação também correlacionou o GDID com endereços IP vinculados a contas em serviços como Snapchat, Facebook e Apple. Os acessos coincidiam com cidades onde o suspeito estaria fisicamente presente, como Tallinn, na Estônia, além de registros posteriores em Nova York e Tailândia. Essas informações foram comparadas com registros de viagens e publicações em redes sociais, fortalecendo a atribuição da identidade.
Segundo os especialistas, o caso demonstra que nenhum metadado isolado revelou automaticamente quem era o invasor. A identificação foi resultado da análise conjunta de diferentes elementos, incluindo identificadores de dispositivos, horários de acesso, endereços IP, proxies, contas online e deslocamentos geográficos. Esse tipo de correlação é amplamente utilizado em investigações de crimes cibernéticos.
A análise também esclarece um equívoco comum sobre privacidade. Não há evidências públicas de que o Global Device Identifier permita à Microsoft visualizar automaticamente todos os sites acessados por um usuário do Windows. O identificador ganha relevância apenas quando combinado com registros mantidos por diferentes provedores de serviços e utilizado em uma investigação autorizada.
O episódio reforça um importante alerta para profissionais de segurança e usuários: mesmo quando o conteúdo de comunicações permanece protegido por criptografia, os metadados podem revelar padrões de comportamento, localização e relacionamentos capazes de identificar indivíduos. Em investigações modernas, essas informações frequentemente se tornam tão valiosas quanto os próprios dados acessados pelos criminosos.
