Un device ID di Windows collega il caso Stokes al furto
Il punto non è l’attribuzione in sé. Il punto è che il canale di recovery dell’help desk resta il varco più debole: se password e MFA vengono resettate dopo una telefonata, un attaccante può entrare anche senza bucare la protezione forte degli account. Qui il valore del device ID è che ha permesso di ricondurre attività cloud sparse alla stessa macchina e poi al sospetto indicato dagli inquirenti.
La complaint federale non aperta prima collega Peter Stokes, detto “Bouquet”, al furto del maggio 2025 contro un retailer di gioielli. Secondo gli atti, gli attaccanti hanno convinto l’help desk a resettare credenziali e dispositivi MFA, hanno preso il controllo di tre account, sottratto almeno 77 gigabyte e tentato di spingere ransomware; Microsoft ha poi aiutato l’FBI a seguire il rientro fino a un Windows GDID persistente associato a quella attività.
Per i team retail e per chi fa incident response, il caso mostra che i log del vendor possono diventare decisivi quando la fiducia passa da una chiamata di supporto. Se il processo di recovery accetta una verifica debole, FIDO2 da solo non basta a chiudere la strada al takeover.