Windows записала, какой URL ngrok открыл подозреваемый — с точностью до секунды (pcmag.com)
Арест показал: Microsoft хранит для каждой установки Windows уникальный идентификатор устройства (GDID) и умеет связывать его с IP-адресами и URL, которые открывал пользователь. Тред взволновал не сам идентификатор, а то, насколько широко система видит активность человека.
Главный вопрос — какой именно компонент это делает. Идентификатор на диске — обычное дело, а вот когда производитель ОС привязывает его к реальной сетевой активности, это другое. Никто в треде не смог точно сказать, виноват ли Edge, Defender или что-то ниже в стеке.