微软Windows系统遭质疑区别对待用户，国家相关部门已介入调查

近日，有个话题引发了全网热议，这个话题是关于微软系统的，它针对欧美用户还有包括中国在内的亚洲大部分用户进行区别对待，这种做法涉嫌侵犯公众隐私，乃至于国家数据安全，与此同时，这也让更多消费者体会到一种需求，即中国市场对于华为原生鸿蒙系统开发以及普及的迫切需求。

起始缘由在于，9月15日，身为从事网络安全工作的技术员的“玄道”，于个人公众号发布文章宣称，微软凭借其垄断地位，运用UCPD.sys在注册表的深层位置隐藏加密数据，并且动态释放未知程序，以此来获取用户数据。

除此之外，UCPD内部设置含有针对中华人民共和国境内软件生产厂家的阻拦机制，借由数字签名黑名单、进程名黑名单、进程路径黑名单予以过滤，对第三方软件与微软体系软件之间的竞争加以限制，从而维持自身市场垄断地位 。

北京市道可特律师事务所有一位高级合伙人，叫林蔚律师，他向观察者网表明，要是上述那些指控真正是属实的，那么不光微软有涉嫌侵犯个人用户隐私的情况，而且还极有可能存在滥用市场支配地位、不正当竞争等违法的行为 。

像一块石头投入水中激起层层波浪这般，对“玄道”进行调查所得到的结果让多位技术人员以及网络安全专家在网络里产生了呼应，然而微软方面却依旧对这种质疑当作没听见，到如今都没有给出任何回应 。

需要特别指出的是，在9月15日至21日这个时间段内，是中国2025年国家网络安全宣传周。有知晓情况的人透露，最近已经有涉及国家网络安全的相关部门着手对该事件展开调查 。

核心争议：UCPD.sys的“越权操作”

UCPD.sys，其全称为User（该称呼为用户选择保护驱动），微软官方声称此的功能是“保护用户默认应用设置，使其不被第三方软件随意去修改”，然而实际技术追踪以及用户体验却暴露出了更为复杂的问题。

微软系统内置的驱动UCPD.sys

一项名为“玄道”的研究发现，每当默认设置遭到篡改之际，都有一个名为UCPD.sys的进程在后台运行着，即便用户想要尝试去修改注册表锁定设置，也会被系统给拦截下来。

即在用户尝试把默认浏览器替换成国产软件后，又将PDF文件设置为用第三方阅读器打开，然而当系统进行更新或者重启之时，设置会自动恢复成为微软旗下的应用。

该组件的技术特性，更让人警觉。网络安全公司的技术人员表明，UCPD.sys有着极为隐蔽的“远程加载与执行”功能，会于系统注册表深处写入加密数据，持续对注册表项变化进行监测，一旦察觉到变动，就会自动对外来程序进行解码、校验以及加载执行，而用户对此全然不知。这种机制被专家明确指认是“隐形后门”，微软有可能借助该通道远程下达指令去执行未知操作 。

而且，UCPD.sys的代码当中存有doc、xls等常见文件格式标识，存在技术分析表明，往后它有可能进一步强行绑定微软软件，加大对用户办公场景的管控。

定向限制：国产软件成“黑名单”重点目标

这样的“越权操作”，会对用户使用体验产生影响，而“隐形后门”同样如此，并且它还会延伸到干预软件市场竞争，特别是会专门针对中国软件厂商，形成系统性的限制 。

通过逆向工程深入研究而发现的“玄道”表明，UCPD程序内置了一套“黑白名单机制”，从曝光出来的代码数据去看一下，“黑名单”当中集中出现了数十家中国企业的产品，涉及安全防护、办公软件、浏览器、输入法等核心领域，包含360、腾讯、联想、金山、搜狗、2345、迅雷等知名厂商 。

数字签名黑名单列表（部分）

把这些国产软件尝试去修改默认应用设置的时候，UCPD.sys会直接返回“操作失败”这样的错误代码，进而同类功能但是国外的软件却能够顺利通过 。

更严重的是，该机制存在对国产安全软件的限制情况，这种限制使得用户的安全防线被削弱了。

360这类国产安全软件，原本是能够对UCPD.sys擅自去修改注册表的行为实施拦截的，然而，因为它被列入了“黑名单”，所以相关的操作就会被UCPD.sys给拒绝掉，甚至，还会遭到阻止安装以及运行的情况，最终致使用户设备暴露在更高的安全风险当中。

在那些从事相关行业的人看来，这样的一种操作，其实际的本质是借助系统层面的权限，去对第三方软件的竞争加以限制，以此来维护微软自身在市场当中的垄断地位 。

广大用户普遍觉得，开启或者不开启数据收集，选用哪一种浏览器以及安全软件，这些都应该由用户自己做主来决定，微软借助系统权限强行进行设定的这种行为，不但侵犯了用户的选择权，而且还把软件市场的竞争活力给扼杀了。公众强烈呼吁微软公开组件的功能，开放风险选项的关闭权限，把设备的掌控权归还给用户，这既是科技产品所应秉持的底线，也是守护数字安全的起始点。

地域双标：中国与欧美用户区别对待

此外，“玄道”借助技术分析显示，UCPD.sys之中内置着区域检测逻辑，存在显著的区域性差异化处理情况，当中中国用户与欧美用户的体验差异是最为突出的 。

受《数字市场法》（DMA）约束，在欧盟地区，微软为系统推出“公平模式”，欧盟用户能够借助一键操作切换浏览器、PDF阅读器等默认应用，系统不会对修改操作予以阻拦，也不会自动恢复原有设置，Edge浏览器以及必应搜索功能可经由标准机制卸载，第三方网络搜索应用能借助任务栏搜索框予以服务提供，并且依托任意浏览器来显示结果，小组件面板也支持第三方新闻源接入，北美市场与之情况相似。

微软欧盟官方博客的说明

与之相对的是，在中国市场，这里涵盖中国内地、香港、澳门以及中国台岛地区，情形全然不同。UCPD.sys会强制性地启动数据收集以及日志上报机制，日志的内容详细且完备，包括进程的完整路径、注册表的修改记录、驱动以及云规则版本等各类信息。

要是用户将“发送可选诊断数据”开启的话，那些加密日志就会被上传到微软服务器，这足够能够还原用户的软件使用习惯以及偏好。在欧美地区，这样具有针对性的数据收集机制是根本完全不会触发的。

安全隐患与潜在风险不止一次

应当予以留意的是，像那种因国际企业所存在的“隐形后门”而致使的网络安全方面的事故，并不是第一次出现了。

7月31日，那是1个多月前，国家网信办借助“网信中国”官微加以披露，按照《网络安全法》《数据安全法》《个人信息保护法》的相关规定，针对H20算力芯片漏洞后门安全风险，约谈了英伟达公司。

彼时，英伟达算力芯片，被爆料出来，有着严重的安全问题出现，美国人工智能领域的专家，还进行了透露，英伟达算力芯片的“追踪定位”技术，已经成熟，其“远程关闭”技术，也已经处于成熟的状态 。

在这样的背景情形之下，国家网信办向英伟达公司提出要求，要求其针对面向中国销售的H20算力芯片，就其中存在的漏洞后门安全风险这一问题作出说明，并且还要提交相关的证明材料，这么做的目的在于维护身处中国的用户的网络安全以及数据安全。

相比之下，微软更称得上类似事件的“常客”。

2025年4月，央视新闻有过相关报道，在哈尔滨亚冬会期间，美国国家安全局，也就是NSA，向黑龙江省内基于系统的特定设备发送了未知加密字节，这看起来疑似激活了预设后门，当时赛事信息系统遭到境外攻击达27万次，而黑龙江省内关键信息基础设施的攻击次数更是高达5000万次 。

另据经济观察网等媒体讲，在更早的以前，于2022年7月到2023年7月期间，国家互联网应急中心监测发现，美国情报机构借助微软邮件系统漏洞，长时间对我国军工企业持续攻击，还对航天研究所进行攻击，并且对生物医药公司进行攻击 。

在2024年被曝光的情况中，存在一种现象，后门具备能记录键盘输入的能力，那是第一种情况，同时还可以截屏屏幕，这是第二种情况，并且代码里包含的中文日志，暴露出了针对中国用户的意图，这是第三种情况。

2019年出现的那样的“后门”，是在服务器里潜伏了两年半，借助劫持系统程序偷偷传输数据，进而成为境外势力用来窃取商业机密的隐形通道。

涉嫌滥用市场支配地位、不正当竞争

现今，UCPD.sys的现身致使风险进一步加剧。我国有着千万级终端所依赖的系统，倘若这类组件遭到恶意地运用，那么就有可能转变为境外攻击者用以渗透关键信息基础设施的突破口，如此一来，个人隐私、企业机密甚至是国家核心信息都将会面临被泄漏的风险。