ブラウザ履歴はフォレンジックでどこまで分かる？Chrome・Edgeを調査

2026年9月9日 2026年9月23日

デジタル・フォレンジック調査ラボ

ChromeやEdgeでは、閲覧履歴、ダウンロード履歴、Cookie、キャッシュ、セッションなどから、PCで利用されたWebサイトやサービスを確認できる場合があります。

ただし、履歴の削除、シークレット／InPrivateの利用、データの上書きによって、確認できる範囲は変わります。サイトへのアクセス履歴だけでは、入力・送信・ファイルのアップロードまで断定できません。

企業調査で重要なのは、「記録が残っているか」に加えて、「その記録が何を示しているか」を判断することです。本記事では、主にWindows版のChrome・Edgeを対象に、自社で確認できる範囲とフォレンジック調査の考え方を解説します。

ブラウザ履歴だけでなく、Windows PCに残るファイル操作、USB利用、削除、ログオンなどの証拠や、PCフォレンジック全体で確認できる範囲については、PCフォレンジックで何が分かる？Windows PCに残る証拠と、確認できること・できないことで整理しています。

提供：株式会社赤井事務所／デジタルフォレンジックPRO
公式資料確認日：2026年9月9日

ブラウザ履歴だけでなく、ファイル操作、USB接続、アプリ実行、削除データなどWindows PCに残る証拠全体を確認したい場合は、Windows・PCフォレンジックで、主な調査項目と確認できる痕跡をまとめています。

調査を予定している場合は、履歴を探す前に保全を判断する

業務で見たページを探すだけなら、通常の履歴画面が入口になります。一方、退職者PC、履歴削除の疑い、情報持ち出し、懲戒・紛争での利用を想定する場合は、操作を始める前にIT担当者や調査担当者へ共有してください。

履歴・Cookie・キャッシュの削除、復元ソフトのインストール、ブラウザの再インストール、PC初期化は、調査対象の状態を変えます。通常利用の継続も、新しいデータによる更新につながります。

初動では、次の情報を整理します。

対象PCと利用者、現在の電源・ログイン・ブラウザの状態。
調べたい期間、サイト、ファイル、疑われる操作。
発覚後に誰がどのような操作をしたか。
企業側のアクセスログやサービス側ログの有無と保存期限。

電源を切る、ブラウザを閉じる、ネットワークを切断するという対応を一律には決められません。 開いているセッションの保全と、進行中の情報流出を止める対応を両立させる必要があるためです。被害が続いている場合は社内のインシデント対応手順に沿って対応し、実施した操作と時刻を記録します。

一度操作しただけで調査不能になるわけではありません。既に操作している場合も、その内容を伝えることが次の判断に役立ちます。当社の証拠保全サービスでは、調査に先立つデータの複製・保全を扱っています。

ブラウザ履歴から分かること・それだけでは分からないこと

ブラウザには、履歴画面に表示されるURL以外にも複数の記録があります。ただし、保存される項目や残り方は、バージョン、設定、プロファイル、削除状況によって異なります。

記録の種類	確認できる場合があること	その記録だけでは断定できないこと
閲覧履歴	URL、タイトル、訪問時刻、訪問回数など	ページを読んだ時間、具体的な入力・送信、実際の操作者
ダウンロード履歴	取得元URL、ファイル名、保存先、開始・終了時刻、状態など	正常に保存された実ファイルの内容、その後の社外持ち出し
Cookie・Webデータ	サービスとの接点、セッションや設定に関する手掛かり	本人によるログイン、利用目的、具体的な操作
キャッシュ	保存された画像・文書・応答データなどの一部	当時の画面全体、表示内容を読んだ事実、送信の完了
セッション・タブ関連	開いていたページやタブ復元に関する手掛かり	そのページで何をしたか、操作した人物
Autofill等	保存された入力候補やフォーム情報の一部	特定日時に、その内容を送信した事実

Edge公式資料でも、閲覧履歴、ダウンロード履歴、Cookie、キャッシュ、フォーム入力情報は別の種類として説明されています。記録が存在することと、利用者の具体的な行動を証明することは分けて考えます。 Microsoft Edgeの閲覧データに関する説明

Cookieやキャッシュから、入力内容まで分かるのか

Cookieは、サービス利用やセッションの手掛かりになり得ます。ただし、Cookieがあるだけで、そのPCの利用者が意図的にログインしたとは限りません。また、データによっては暗号化されており、ファイルを取得できても内容をそのまま読めるとは限りません。

キャッシュやサイト固有の保存データに、文書・入力途中の内容などが残る場合もあります。しかし、下書き、受信内容、画面表示用データ、送信済みデータは区別が必要です。

入力内容の断片が見つかっても、それだけで外部への送信完了は確定しません。 フォームや生成AIに入力した文章が常に保存される仕組みでもありません。

通常の履歴画面とフォレンジック解析は何が違うのか

「履歴を復元する」という言葉には、異なる作業が含まれます。

履歴画面や同期先に残っている記録を見つける。
バックアップや企業ログなど、別に保存されていた記録を確認する。
削除されたデータの残存部分から、情報を取り出す。

企業調査では、これらを区別します。別のログでアクセスが確認できても、「削除されたブラウザ履歴そのものを復元できた」とは限らないためです。

Chromeの履歴はどこまで残るのか

Google公式ヘルプでは、Chromeの履歴画面には過去90日間にアクセスしたページが表示され、削除済みのページ、シークレットモードでアクセスしたページなどは表示されないと説明されています。

これは履歴画面の説明です。「PC内のあらゆる痕跡が90日で消える」「90日以内なら必ず復元できる」という意味ではありません。また、同期設定によっては、ほかの端末の履歴が表示されます。Chromeの閲覧履歴を確認、削除する

Edgeの履歴はどこまで残るのか

Edgeでは、端末上のデータ、同期されるデータ、Microsoftアカウントのプライバシーダッシュボードで扱うデータを区別します。同期中の削除は、ほかの同期端末にも関係します。

確認した公式資料から、すべてのEdge環境に共通する保存日数は示せません。対象PCの設定と実際の保存状態を確認します。Microsoft Edgeの閲覧履歴を表示および削除する

アカウント側の記録は、PCの全履歴ではない

Googleアカウントのアクティビティには、設定に応じてChromeの履歴などが含まれる場合があります。ただし、ログイン、同期、アクティビティの保存設定などが関係するため、会社PCで行われたすべての閲覧を再現できるとは限りません。Googleのウェブとアプリのアクティビティ

個人アカウントを含む場合は、調査目的と確認権限を整理してから対象範囲を決めます。会社PCにログイン状態が残っていることだけを理由に、無関係な私的情報まで確認する運用は避けます。

フォレンジックでは保存データと周辺記録を調べる

フォレンジック調査では、保全したデータを対象に、プロファイル内のデータベースや関連ファイルを解析し、OS・ネットワーク・サービス側の記録と照合します。

対象によっては、SQLite形式のデータベース本体に加え、更新内容を保持するWALファイルも重要です。WALが存在する状態で本体だけをコピーすると、必要な更新が含まれないなどの問題が起こり得ます。SQLite：Write-Ahead Logging

そのため、「Historyという名前のファイルを一つコピーした」ことだけで、必要な保全が完了したとは判断できません。

削除したブラウザ履歴は復元できるのか

残存データや削除前の記録があれば確認できる場合がありますが、復元は保証できません。

ブラウザの削除画面では、期間やデータの種類を選べる場合があります。閲覧履歴を削除したのか、Cookieやキャッシュも削除したのかによって、残る情報は変わります。

削除・保存の状況	調査で確認するもの
履歴画面から削除された	データベースの残存部分、関連ファイル、ほかの証拠源
閲覧データをまとめて削除した	削除対象の種類・期間、残ったプロファイルデータ
同期を利用していた	同期先への削除反映、別端末の記録の由来
削除前のバックアップがある	対象プロファイルが含まれるか、取得時点が適切か
PCを使い続けた・初期化した	上書きや再構成の状況、端末外に残る記録

SQLiteでは、削除後の領域に以前の内容が残る場合がある一方、領域の再利用やVACUUM等の処理によって残存内容が失われることがあります。特定のChrome・Edge環境で何が残るかは、実データを確認して判断します。SQLite：VACUUM

復元可能性には、ブラウザ、OS、経過時間、利用状況、上書き、SSD等の記録媒体の特性が関係します。「削除したばかりだから復元できる」とも、「削除ボタンを押したから完全に消えた」とも言い切れません。

バックアップやVSSは使えるのか

削除前のバックアップや、WindowsのVSSによるスナップショットに対象データが含まれていれば、過去の状態を確認できる可能性があります。ただし、VSSは、そのPCに必要な時点のコピーが存在することを保証する機能ではありません。Microsoft：Volume Shadow Copy Service

調査では、原本PCを過去の状態に戻す操作を先に行うのではなく、取得可能なバックアップ等を別に保全・解析する方法を検討します。

履歴を削除した日時や、隠蔽の意図まで分かるのか

削除に関係する記録が残っていれば、時期を絞れる場合があります。しかし、履歴データベースの最終更新時刻だけを「利用者が履歴を削除した時刻」と判断することはできません。通常利用でもファイルは更新されるためです。

また、履歴がない理由には、保存対象外、別プロファイル、同期、保持期間、プライベートブラウジングなどもあります。記録がないことだけで、意図的な削除や証拠隠滅を認定しないことが重要です。

シークレットモード・InPrivateの履歴は分かるのか

通常の履歴画面から確認することは難しくなります。ただし、ダウンロードしたファイルや企業側のログなど、別の場所に手掛かりが残る場合があります。

Chromeのシークレットモードは、すべてのシークレットウィンドウを閉じてセッションを終了すると、そのセッションのサイトデータ等を保持しない設計です。一方、保存したファイルやブックマークは残ります。Google：シークレットモードでブラウジングする

EdgeのInPrivateも、すべてのInPrivateウィンドウを閉じると閲覧履歴やダウンロード履歴等を削除しますが、ダウンロードしたファイルやお気に入りは保持されます。Microsoft：Browse InPrivate in Microsoft Edge

企業環境では、保存されていれば次の情報を調査に使える場合があります。

Proxy・Firewall等の接続記録。
EDR等が収集した端末・通信の記録。
ダウンロードされた実ファイルとWindows側の痕跡。
Webサービス側のアクセス・操作ログ。

記録の有無と詳しさは、導入製品、取得設定、保存期間によって異なります。事後に監視製品を導入しても、過去に収集していない詳細なログを取り戻せるわけではありません。

また、企業ログで接続先が分かっても、使用したモードまで記録されているとは限りません。「シークレットモードの利用を証明できた」かどうかは別に判断します。

DNSキャッシュは「消した閲覧履歴」ではない

DNSキャッシュは、名前解決に使われた情報です。Microsoftの説明でも、事前に読み込まれたHostsファイル由来の情報などが含まれます。Microsoft：ipconfig

そのため、DNSにドメイン名があっても、特定ページを人が開いたこと、正確な閲覧時刻、シークレットモードの利用、送信内容までは分かりません。DNSキャッシュを、完全な閲覧履歴の復元結果として扱うことはできません。

ダウンロード履歴から、ファイル名・保存先・時刻は分かるのか

記録が残っていれば、取得元URL、ファイル名、保存先、開始・終了時刻、受信サイズ、処理状態などを確認できる場合があります。

Chromiumの公開実装にも、ダウンロードの保存先、時刻、受信量、状態、中断理由、URLの連鎖などを扱う項目があります。ただし、対象ブラウザのバージョンとデータ構造に合わせた解釈が必要です。Chromium：Download database

調査では、次の順序で確認します。

何を取得しようとしたか：URL、ファイル名、関連するページ。
処理はどう終わったか：完了、中断、失敗等の状態。
どこへ保存されたか：記録上の保存先と、その時点の保存媒体。
何が実際に残っているか：実ファイルの内容・サイズ等との整合性。

ダウンロード一覧に項目があるだけでは、正常に取得を完了したとは限りません。反対に、現在ファイルが見つからなくても、保存後に移動・削除された可能性があります。

Edge公式資料でも、ダウンロード履歴の削除は、ダウンロード済みファイル自体の削除とは区別されています。Microsoft Edgeのダウンロード履歴の説明

保存先が E:\ であっても、それだけで私物USBとは判断できません。その時点で割り当てられていた媒体を、接続記録などと照合します。

ダウンロードは、ファイルを取得した側の記録です。取得後に社外へ送ったか、別の媒体へコピーしたかは、追加の証拠が必要です。

アップロード・Webメール・生成AIへの入力はどこまで分かるのか

ブラウザの閲覧履歴は、通常、サービス上のすべての操作を記録する監査ログではありません。

たとえば chatgpt.com、Google Drive、Gmailへのアクセスがあっても、それだけでは、機密情報を入力した、ファイルをアップロードした、メールで外部送信したとは断定できません。

確認したい行為	ブラウザ側の入口	追加で照合する情報
Gmail・Outlook Webからの送信	Webメールへのアクセス、関連する保存データ	対象メール、宛先、添付、送信状態、権限内で取得できるサービス側記録
Google Drive・OneDrive・Dropbox等へのアップロード	サービスへのアクセス、関連するページ・データ	対象ファイル、操作種別、アカウント、サービス側ログ、DLP等
ファイル転送サービスの利用	接続先や利用画面の手掛かり	転送記録、対象ファイル、通知、通信・端末ログ
ChatGPT等への入力・ファイル添付	サービスへのアクセス、残存するサイトデータ	会話・添付の記録、端末側の痕跡、利用環境で取得可能な管理ログ

どの環境でも表の情報をすべて取得できるわけではありません。サービスの契約、管理権限、取得設定、保持期間によって範囲が変わります。

ProxyやFirewallに通信量が記録されていても、その量だけでは送信したファイルを特定できません。暗号化された通信では、ログに本文やファイル内容が記録されない場合もあります。

サービス別の企業調査については、関連サイトの個人メールへの情報持ち出し、Google Driveのダウンロードログ、ChatGPTへの機密情報入力の調査も参照してください。

誰が、いつ操作したかは、ブラウザ以外の記録と照合する

ブラウザ上のユーザー、Windows利用者、サービスアカウント、実際の操作者は、必ずしも一致しません。

共有PC、共用Windowsアカウント、複数プロファイル、Google／Microsoftアカウントの切替、遠隔操作、保存済みセッションが関係することがあります。同期された履歴では、別端末での操作が表示される可能性もあります。

また、自動アクセスやバックグラウンド通信を、人による閲覧操作と混同しないことも重要です。

操作者を検討する際は、PCの管理・利用状況に加え、ログオン、遠隔接続、認証、対象時間帯の利用記録などを照合します。訪問回数だけから、ページを読んだ回数や滞在時間を算出することも避けます。

Windows側の記録は、何を補うのか

ブラウザ記録と照合する対象には、次のようなものがあります。

$MFT：ファイルの存在、名前、属性などを調べる材料。
$UsnJrnl：ファイル・ディレクトリの作成、変更、削除等を調べる材料。
LNK、Jump Lists、Recent Files：ファイルやアプリの利用状況を調べる手掛かり。
必要に応じて、Prefetch、SRUM、USB接続、メール、クラウド等の記録。

MFTはファイルに関する情報、USN変更ジャーナルは変更に関する記録です。それ自体が、ファイル内容を読んだ記録やアップロード完了の記録になるわけではありません。 Microsoft：Master File Table、Change Journals

MFTやUSNジャーナルに残るファイルの作成・変更・名前変更・削除などの記録については、MFT・USNジャーナルで何が分かる？Windowsのファイル作成・変更・削除履歴を解析で詳しく解説しています。

LNKも、対象への参照情報として解釈します。リンクがあるだけで、特定の人物が内容を読んだと確定するものではありません。Microsoft：Shell Links

当社が公開している調査項目でも、ブラウザのHistory・ダウンロード関連情報と、Windows側のファイル・実行・接続の痕跡を挙げています。調査では、必要な記録を選び、複数の証拠源を時系列で照合する方針です。デジタルフォレンジックPROの調査対象・調査工程

時刻が近いだけでは、アップロードの証明にならない

以下は説明用の架空例であり、当社の実案件ではありません。

時刻	確認された記録	その時点で言えること
10:01	顧客リストに対応するLNK等の記録	ファイル利用に関する手掛かりがある
10:04	クラウドサービスの閲覧履歴	サービスへの訪問記録がある
10:06	同サービスへの通信量の増加	通信が発生したが、内容は未特定
10:08	USB機器の接続記録	機器が接続された

この並びだけでは、「顧客リストをクラウドへアップロードした」「USBへコピーした」とは断定できません。

次に確認すべきなのは、対象ファイルを識別できる送信・保存の記録、クラウド側の操作種別とアカウント、USB側の実ファイルなどです。結論に必要な記録が取得できなければ、その点は未確認として残します。

時系列を作る際は、タイムゾーン、端末時計のずれ、各時刻が「訪問」「保存」「更新」のどれを表すかもそろえます。異なる意味の時刻を並べるだけでは、操作の順序を正しく評価できません。

ブラウザのアンインストール・PC初期化後は調べられるのか

ブラウザをアンインストールした場合は、ユーザーデータも削除されたか、別プロファイルやバックアップが残っているかを確認します。アンインストールした事実だけでは、調査可能・不可能を判断できません。

PC初期化後は、初期化の方式、その後の利用、上書き、記録媒体などによって条件が変わります。元のブラウザデータが確認できなくても、企業ネットワークやWebサービス側に別の記録が残っている場合があります。

初期化や再インストールを繰り返して試す前に、実施日時・方法と、その後の利用状況を整理してください。

自社で確認できる範囲と、専門調査を検討する目安

状況	確認の進め方
証拠利用を予定せず、残っている履歴から業務上のページを探したい	権限のある担当者が通常履歴・ダウンロード一覧を確認
複数ブラウザ・プロファイル・同期が関係する	IT担当者が端末・アカウントの対応関係を整理
Proxy・EDR・サービス側ログがある	管理者が保持期間と取得範囲を確認し、必要なログを保存
履歴削除、InPrivate、アンインストール、初期化が関係する	操作を増やす前に、保全と解析方法を相談
送信内容や操作者の特定、懲戒・紛争での利用を想定する	フォレンジック担当者と法務等が連携し、取得範囲と評価方法を決める

調査を相談する際は、「履歴を全部復元したい」だけでなく、どの期間の、どのファイル・サービスについて、何を確かめたいのかを伝えると、必要な証拠源を絞りやすくなります。

当社では、対象データの保全、ハッシュ値の取得や作業記録、複数記録の照合、根拠を整理した報告を公開の調査工程として案内しています。取得する資料だけでなく、確認できた事実と未確認事項を区別することを重視します。PCフォレンジック調査