PCが遠隔操作されたか確認する方法｜AnyDesk・TeamViewerの履歴と痕跡

2026年9月13日 2026年9月23日

デジタル・フォレンジック調査ラボ

Windows PCが第三者から遠隔操作されたかどうかは、AnyDesk・TeamViewer等の遠隔操作ソフトに残るログと、Windows側のアプリ実行・通信・ファイル操作等の痕跡を照合することで、後から確認できる場合があります。

ただし、最初に区別しておきたいことがあります。

遠隔操作ソフトがあること
と
実際に外部との接続が成立したこと
と
接続した相手が特定のファイルやメールを操作したこと

は、それぞれ別の事実です。

AnyDeskやTeamViewerは、社内ヘルプデスク、ベンダー保守、テレワーク等でも使われる正規のソフトです。そのため、ソフトが見つかっただけで「不正アクセスされた」と判断することもできません。

調査では、ソフトの存在だけを見るのではなく、

存在 → インストール・配置 → 実行 → 接続・セッション → 接続中の操作

という段階を分け、複数の記録を時間軸で照合します。

AnyDesk・TeamViewerなどの遠隔操作だけでなく、RDP、Wi-Fi、ファイルサーバーなどネットワーク接続に残る証拠全体を確認したい場合は、サーバー・ネットワークフォレンジックで、主な調査項目と確認方法をまとめています。

PCが遠隔操作されたか後から確認できる？

確認できる可能性があります。

特にAnyDeskやTeamViewer等では、製品固有のログやセッション情報が残っている場合があります。

さらにWindows側にも、

プログラムが実行された痕跡
サービスやタスク等の痕跡
ネットワーク利用に関する記録
イベントログ
ファイルやフォルダの操作痕跡

等が残っている場合があります。

例えばAnyDeskでは、公式資料上、接続リクエストを受信するとconnection_trace.txtが作成され、接続日時、要求を受け入れたか拒否したか、接続要求元等の情報が記録されます。つまり、接続要求と接続成立を区別できる場合があるということです。

一方で、必要な記録がすでに削除・上書きされていたり、ログ設定や製品の利用方法によって記録されていなかったりする場合もあります。

したがって、

「遠隔操作されたなら必ず履歴が残る」

とは言えません。

調査対象のPC、ソフトの種類・バージョン、利用形態、ログの保存状況、経過時間等を確認して判断します。

遠隔操作ソフトがあるだけでは接続されたとは言えない

遠隔操作を調べるときは、次の事実を混同しないことが重要です。

確認段階	比較的言いやすいこと	それだけでは言えないこと
ソフトのファイルが存在	遠隔操作ソフトに関連するファイルが存在した	インストールされた
インストール痕跡がある	インストールされた可能性	実際に実行された
実行痕跡がある	プログラムが実行された可能性	外部との接続が成立した
接続・セッション記録がある	接続やセッションが成立した可能性	その中で何を操作したか
ファイル操作痕跡がある	同時間帯にファイル操作があった可能性	その遠隔操作者が実行した
接続元ID・IPがある	接続元を絞る手掛かり	実際に操作した人物本人

特に注意したいのが、ポータブル実行が可能な遠隔操作ソフトです。

AnyDesk公式資料では、インストール版の設定ディレクトリとして%programdata%\AnyDesk\、ポータブル版では%appdata%\AnyDesk\が案内されています。したがって、通常のインストール履歴が見つからなくても、利用されていなかったとは限りません。

反対に、インストールされていても、業務上必要な正規ソフトとして導入されただけで、問題となる日時に接続されたとは限りません。

遠隔操作を調べるときに確認する主な証拠

遠隔操作の調査では、1種類のログだけを見るのではなく、役割の違う証拠を組み合わせます。

遠隔操作ソフト固有のログ

最も直接的な確認候補です。

AnyDeskやTeamViewerには、製品や設定に応じて、

接続日時
セッション
接続元・接続先
ID
接続要求
接続結果
製品の動作ログ

等を確認できる場合があります。

ただし、ログファイルの存在自体と、対象日時の接続成立は分けて確認します。

Windowsのアプリ実行痕跡

Prefetch、Amcache、UserAssist等から、対象となる実行ファイルの存在・実行に関する手掛かりが得られる場合があります。

Securityログのプロセス作成監査が有効な環境では、イベントID 4688も確認候補です。Microsoftは4688を、新しいプロセスが作成された際のイベントとして説明しています。

ただし、アプリを実行したことが確認できても、

遠隔接続が成功した

とは限りません。

詳しいアプリ実行履歴の読み方については、別記事「Windowsのアプリ実行履歴はどこまで分かる？」で解説しています。

イベントログ・EDR等

環境によっては、

Security
System
Application
サービス関連イベント
EDR
SIEM

等に、対象ソフトの起動やサービス、周辺の異常動作に関する記録が残っている場合があります。

企業PCでは、ローカルPCからログが消えていても、EDRやSIEM等へすでに転送された記録が残っている可能性もあります。

ネットワーク関連記録

SRUM、Windows Firewallログ、EDR、プロキシ、ルーターやネットワーク機器側のログ等を確認できる場合があります。

ただし、

遠隔操作ソフトが通信した
ことと、
第三者が対話的な遠隔操作を行った

ことは同じではありません。

ソフト固有のセッション情報等と時間を照合します。

ファイル操作履歴

問題となるのが「遠隔操作されたか」ではなく、

接続後に何をされたか

である場合は、さらに別のアーティファクトが必要です。

$MFT、$UsnJrnl、LNK、Jump Lists、ブラウザ履歴、PowerShellログ、USB、メール、クラウド側監査ログ等を、調べたい操作に応じて照合します。

AnyDeskの接続履歴はどこまで分かる？

AnyDeskでは、ローカルPCに残るtraceファイルや接続関連記録が重要な確認候補です。

AnyDesk公式資料では、Windows 7以降の標準クライアントについて、UI側のtraceとして、

%appdata%\AnyDesk\ad.trace

インストールされている場合のサービス側traceとして、

%programdata%\AnyDesk\ad_svc.trace

等が案内されています。カスタムクライアントでは保存先・ファイル名が異なる場合があります。

特に重要なのがconnection_trace.txtです。

AnyDesk公式では、接続リクエストを受けたときに作成され、

接続日時
接続要求を受け入れたか拒否したか
誰が接続要求を送ったか

等の詳細なセッション情報を含むと説明されています。

そのため、

接続要求が来た
と
実際に受け入れられた

を区別する材料になる場合があります。

また、my.anydeskを利用している環境では、管理ポータル側も確認対象です。現在のAnyDesk公式資料では、セッションについて送信元アドレス、宛先アドレス、状態、開始時刻、終了時刻等を確認できるとされています。

ただし、管理ポータルの記録を利用できるかは、アカウント、ライセンス、管理状態等によって異なります。

AnyDeskのファイル転送履歴は？

AnyDeskにはファイル転送機能があります。

公式資料では、File Manager利用中の転送・編集履歴をAccept Windowで確認でき、File Transferタブには、そのセッション中にFile Managerで行われた転送・削除操作の履歴が表示されると説明されています。

しかし、

AnyDeskにファイル転送機能がある
ことと
調査対象のPCから実際に特定ファイルが外部へ転送された

ことは別です。

調査時まで当該記録が残っているとは限らず、ファイル転送以外の方法で情報が閲覧・取得された可能性もあります。

必要に応じてWindows側のファイル操作記録や、転送対象と疑われる実ファイル等も照合します。

TeamViewerの接続履歴はどこまで分かる？

TeamViewerでも、まず製品固有のログと接続レポートを確認します。

現在のTeamViewer公式資料では、Windows版TeamViewer RemoteのログとしてTeamViewer15_Logfile.log、過去ログとしてTeamViewer15_Logfile_OLD.logが案内されています。

標準の保存先は利用形態によって異なり、

Full Version・Host：C:\Program Files (x86)\TeamViewer
QuickSupport：C:\Users\[username]\AppData\Roaming\TeamViewer

とされています。

さらに、TeamViewerの管理環境ではConnection reportsも確認候補です。

TeamViewer公式では、Premium・Corporate・Tensor等の対象環境について、Admin settingsやManagement Consoleから組織内ユーザー・管理対象端末の受信・発信接続を記録できると説明しています。

ただし、発信接続については機能の有効化やTeamViewerアカウントへのログイン、受信側については端末の割り当てやポリシー等の条件があります。

また、ポリシーには、受信接続をConnections_incoming.txtへ記録する設定もあります。

したがって、

TeamViewerがインストールされている

だけを見るのではなく、

対象日時に実行されていたか
接続ログ・レポートが存在するか
接続元・接続先に関する情報があるか
Windows側の通信・操作記録と時刻が一致するか

を確認します。

遠隔操作ソフトが削除されていても痕跡は残る？

残っている場合があります。

遠隔操作ソフト本体が現在見つからなくても、

Prefetch
Amcache
UserAssist
SRUM
Windowsイベントログ
LNK
Jump Lists
$MFT
$UsnJrnl
ProgramData
AppData
EDR・SIEM等の外部保存ログ

に関連情報が残っている可能性があります。

既存のアプリ実行履歴記事でも、アンインストール済みのアプリについて、Prefetch、Amcache、イベントログ、EDR、MFT・USN、LNK・Jump Lists等が確認候補になることを解説しています。

ただし、

削除されても必ず分かる

わけではありません。

経過時間、Windowsの利用状況、ログの保持、SSD等の記憶媒体、初期化・再インストール、製品のバージョン等によって、残存状況は変わります。

また、AnyDeskのようにインストールせず利用できる形態があるため、

インストール履歴がない＝実行されていない

とも判断できません。

接続元IPやIDから誰が操作したか分かる？

接続元を絞る手掛かりにはなりますが、それだけで実際の操作者本人を確定することはできません。

確認対象には、

AnyDesk ID・Alias
TeamViewer関連ID
アカウント
IPアドレス
ホスト名
セッション情報
端末管理情報

等があります。

例えばAnyDeskの管理ポータルでは、接続元・接続先に相当するAnyDeskアドレスやセッション時刻を確認できる環境があります。

しかし、IDやIPは「人」ではありません。

実際には、

VPN
NAT
共用PC
共有アカウント
ベンダーのサポート端末
第三者によるアカウント利用
複数人が利用する拠点
中継環境

等を考慮する必要があります。

人物まで評価する場合は、端末管理台帳、アカウント管理、認証記録、勤務・保守記録、当時の利用状況等を追加で照合します。

遠隔操作された時間帯に何をされたか調べる方法

遠隔接続の成立が確認できても、そのセッション内で何をしたかは別の調査課題です。

例えば、AnyDeskのセッションが10時00分から10時30分まで存在したことが確認できても、それだけでは、

顧客ファイルを開いた
ファイルをコピーした
PowerShellを実行した
ブラウザからクラウドへアップロードした
メールを送信した
USBへコピーした
ファイルを削除した

とは判断できません。

そこで、まず遠隔接続の開始・終了時刻を基準にし、その前後を含めてWindows側の記録を時系列で照合します。

調べたい操作	主な確認候補
アプリを実行した	Prefetch、4688、EDR、UserAssist等
ファイルを作成・変更・削除した	`$MFT`、`$UsnJrnl`、アプリ側ログ等
ファイルを開いた・参照した	LNK、Jump Lists、Recent関連、アプリ履歴等
Webを操作した	ブラウザ履歴、ダウンロード、Webサービス側ログ等
PowerShellを使った	プロセス実行、PowerShellログ、スクリプト関連記録等
USBを利用した	USB接続痕跡、LNK、ファイル操作、媒体内容等
クラウドを利用した	PC側痕跡、サービス側監査ログ、実ファイル等

重要なのは、

同じ時刻に記録があるというだけで、遠隔操作者の操作と自動的に決めない

ことです。

PCを直接操作していた利用者や、バックグラウンド処理等の可能性も検討します。

ファイルを見られた・コピーされたかは別に調べる

遠隔操作被害で特に多い質問が、

「ファイルを見られたのか」
「会社のデータをコピーされたのか」

です。

しかし、接続履歴だけでは通常そこまでは分かりません。

例えば、ファイルが開かれた可能性を調べる場合は、LNK、Jump Lists、アプリ側履歴、適切に記録された監査ログ等を確認します。

一方、ファイルを開いた痕跡が確認できても、それだけでコピーや外部送信まで証明したことにはなりません。

$MFTや$UsnJrnlからは、ファイルの作成・変更・名前変更・削除等の手掛かりを得られる場合があります。

Microsoftも、USN Change Journalについて、NTFS上でファイルやディレクトリが追加・削除・変更された際に変更記録が追加される仕組みと説明しています。

ただし、USNの変更記録だけから、

「第三者がAnyDesk経由でこのファイルを読んだ」

と判断することはできません。

ファイルのコピーを検証する場合も、コピー元・コピー先、実ファイル、ハッシュ、ファイルシステム上の記録、外部媒体やクラウド側ログ等を組み合わせます。

正規の遠隔サポートと不正な遠隔操作をどう区別する？

遠隔操作されたことと、不正アクセスだったことは別です。

AnyDeskやTeamViewer等は、正規業務でも利用されています。

例えば、

社内ヘルプデスク
システム管理
ベンダー保守
テクニカルサポート
テレワーク
サーバー・端末管理

等です。

そのため、接続ログが見つかった場合は、

確認事項	主な着眼点
利用アカウント・ID	会社が管理していたものか
接続日時	保守予定、勤務、問い合わせ日時等と一致するか
接続先PC	業務上接続する必要があった端末か
接続元	承認済みベンダーや管理端末と整合するか
利用目的	チケット、作業依頼、保守記録等があるか
接続中の操作	依頼された作業の範囲と整合するか

等を照合します。

反対に、正規の遠隔操作ソフトであることも、

その利用が正当だった

ことを意味しません。

正規ソフトを第三者が悪用したり、正規アカウントを不正利用したりする可能性があります。

ソフトの名称だけで安全・不正を判断せず、権限、承認、接続記録、操作内容、業務上の必要性を分けて確認します。

サポート詐欺で遠隔操作された場合に確認するもの

サポート詐欺は、AnyDeskやTeamViewer等の正規遠隔操作ソフトが悪用される代表的なケースです。

IPAは、サポート詐欺で悪用される既製の遠隔操作ソフトとして、AnyDesk、LogMeIn Rescue、TeamViewer、UltraViewer等を挙げています。

こうしたケースでは、

どの遠隔操作ソフトを起動したか
接続要求・セッションが成立したか
接続開始・終了はいつか
接続元に関するID等が残っているか
遠隔操作中にどのアプリ・ファイルが扱われた可能性があるか
ネットバンキングやメール、クラウド等が操作されたか

を分けて調べます。

現在も遠隔操作が続いている場合

自分が操作していないのに画面が動いているなど、被害が現在進行中であれば、証拠保全だけを優先して被害を放置するべきではありません。

IPAも、遠隔操作が続いている場合にはネットワークを切断するなどして接続を止めるよう案内しています。

企業では、実施した隔離操作、日時、担当者、画面状態等も記録しておくと、その後の調査で状況を説明しやすくなります。

過去の遠隔操作を調査する場合

一方、接続はすでに終了しており、情報漏えいや不正操作の有無を後から調べる場合は、対応が異なります。

IPAは、企業・組織のPCについてデジタルフォレンジックによる情報漏えい調査を行う場合、システムの復元や初期化は調査後に行い、調査完了までは端末を保存するよう案内しています。

つまり、

一般利用者向けの復旧手順
と
証拠を残して原因・操作内容を調べる手順

を混同しないことが重要です。

遠隔操作の痕跡で分かること・分からないこと

遠隔操作調査では、それぞれの証拠が示す範囲を超えて結論を広げないことが重要です。

痕跡	比較的言いやすいこと	それだけでは言えないこと
AnyDesk等のファイル	ソフト関連ファイルが存在した	実際に遠隔操作された
インストール痕跡	ソフトが導入された可能性	セッション成立
Prefetch等	プログラム実行の手掛かり	外部から接続された
`connection_trace.txt`	接続要求、日時、受諾・拒否等の手掛かり	操作者本人、具体的な全操作
TeamViewerログ	製品動作・接続調査の手掛かり	不正アクセスだった
Connection reports	条件を満たす環境で受信・発信接続の手掛かり	実際の人物本人
接続元IP・ID	接続元を絞る手掛かり	人物の確定
ファイル転送関連記録	記録された転送操作の手掛かり	情報漏えいの全容
MFT・USN	ファイル作成・変更・削除等の手掛かり	遠隔操作者が行った操作
複数の記録の時系列一致	遠隔操作に関する評価を補強	PC上の全操作の完全再現

調査の基本は、

ソフトの存在
↓
実行
↓
接続・セッション
↓
通信
↓
同時間帯のファイル・アプリ操作

のように、意味の異なる記録をつなげていくことです。

ただし、

「3種類の証拠が一致したから不正確定」

といった機械的な判定はできません。

それぞれの証拠が何を記録する仕組みなのか、対象時刻、アカウント、端末、保存条件等を確認して評価します。

調査前に保存するもの・避けたい操作

遠隔操作の疑いがあり、後から証拠として調査する可能性がある場合は、PCの状態を不必要に変えないことが重要です。

特に、目的を決めないまま、

遠隔操作ソフトをアンインストールする
PCを初期化する
システムの復元を実行する
OSを再インストールする
ログを削除する
復旧ソフトをインストールする
調査対象アプリを何度も起動する
原本PC上で大量の検索・解析を行う

と、確認したい記録が更新・削除・上書きされる可能性があります。

デジタルフォレンジックPROの証拠保全記事でも、初期化、OS再インストール、復旧ソフト導入、大量のファイル操作、ログ削除、原本上での直接解析等は、確認対象の記録を変える可能性があるため、調査目的を決める前に進めないことを基本としています。

一方で、

常にすぐ電源を切る
常にネットワークをつないだままにする

といった一律の対応も適切ではありません。

現在も被害が進行しているのか、PCがログイン中なのか、暗号化されているのか、メモリ上の情報が必要なのか等によって判断は変わります。

可能であれば、

PCの資産番号・シリアル番号
現在の画面
電源・ログイン状態
ネットワーク接続状態
発覚日時
問題となった操作の日時
遠隔操作ソフト名
表示されているID等
すでに実施した対応
PCを扱った担当者と日時

を記録します。

懲戒、訴訟、警察相談等で証拠として使用する可能性がある場合は、ディスクイメージ、ハッシュ値、取得工程、保管・受渡し等を含む証拠保全を検討します。

自社確認で足りる場合とフォレンジック調査を検討する目安

確認したい事実によって、必要な調査の深さは変わります。

状況	自社確認で対応しやすい	フォレンジック調査を検討
AnyDesk・TeamViewer等が存在するか確認	○	必須ではない
社内で承認済みの接続レポートを確認	○	必須ではない
特定日時に接続記録があるか確認	○～△	条件による
削除済みソフトの利用痕跡を確認	△	○
接続元ID・端末を詳しく追いたい	△	○
実際の操作者まで評価したい	△	○
接続中に開いたファイルを調べたい	△	○
ファイルコピー・外部送信を調べたい	△	○
情報漏えい範囲を特定したい	△	○
複数PC・クラウド・ネットワークを突合	△	○
懲戒・訴訟等で証拠利用を想定	△	○