WindowsのWi-Fi接続履歴を確認｜SSID・接続日時に残るログ
デジタル・フォレンジック調査ラボ
Windowsでは、WLAN-AutoConfigのイベントログ、ワイヤレスネットワークレポート、保存済みWi-Fiプロファイル、NetworkList等から、過去に利用したWi-Fiや接続日時に関する痕跡を確認できる場合があります。
Microsoftのワイヤレスネットワークレポートでは、過去3日間のWi-Fiイベントを接続セッションごとに確認でき、SSID、接続モード、セッション時間、切断理由等が表示されます。
ただし、最初に区別しておきたいことがあります。
「Wi-Fiプロファイルが保存されていること」と「特定日時に実際に接続したこと」は同じではありません。
また、
「PCがWi-Fiへ接続したこと」と「特定人物がその場所にいたこと」も同じではありません。
Wi-Fiの記録は、PCのネットワーク利用を調べる重要な手掛かりです。しかし、場所、人物、インターネット利用、ファイル送信等まで評価するには、別の記録との照合が必要です。
この記事では、Windows PCが過去にどのWi-Fiへ接続したのか、どこまで証拠として確認できるのかを整理します。
Wi-Fi接続履歴だけでなく、ファイルサーバー、RDP、遠隔操作などネットワークに残る証拠全体を確認したい場合は、サーバー・ネットワークフォレンジックで、主な調査項目と確認方法をまとめています。
WindowsのWi-Fi接続履歴は確認できる？
確認できる場合があります。
Windowsでは、調べたい期間や内容に応じて複数の記録を使い分けます。
代表的なものは次のとおりです。
| 記録 | 主に確認する内容 | 主な注意点 |
|---|---|---|
| WLAN-AutoConfig | Wi-Fi接続・接続失敗・切断、SSID等 | ログが残っている期間に限られる |
| ワイヤレスネットワークレポート | 最近のWi-Fiセッション、SSID、接続時間、切断理由等 | Microsoft公式では対象は過去3日間 |
| 保存済みWi-Fiプロファイル | PCに構成されているWi-Fiネットワーク | 接続日時の一覧ではない |
| NetworkList | 過去に認識したネットワーク、プロファイル、日時情報等 | WLANログと意味が異なる |
| SRUM | アプリやインターフェースのネットワーク利用の補助 | 特定SSIDへの接続を単独で示すものではない |
| DHCP・TCP/IP等 | IP、DHCP、NIC等のネットワーク情報 | Wi-Fi接続履歴そのものではない |
WindowsのNetwork Location Awareness関連情報は、HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList以下に保存されます。MicrosoftもNetworkListのProfilesやSignaturesをネットワーク状態・プロファイル確認用のレジストリとして説明しています。
重要なのは、一つの記録だけで結論を広げすぎないことです。
保存済みWi-Fiと実際の接続履歴は別
Windowsでは、
netsh wlan show profiles
等を使って、構成されているWi-Fiプロファイルを確認できます。
Microsoftのnetsh wlan資料でも、show profilesは「構成されているすべてのワイヤレスネットワークプロファイル」を一覧表示する機能とされています。
しかし、
保存済みWi-Fiプロファイル＝特定日時の接続記録
ではありません。
WindowsのNative Wifiは、利用するネットワークの設定をプロファイルとして保存できます。また、企業ではグループポリシーやMDM等からWi-Fiプロファイルを配布することもできます。
そのため、プロファイルが存在していても、
- いつ接続したか
- 最近接続したか
- そのPCで接続が成功したか
- その時間に誰が操作していたか
まで分かるとは限りません。
過去に登録されたネットワークを知りたい場合はプロファイル、実際の接続セッションを調べたい場合はWLANイベント等を見るという使い分けが重要です。
Wi-Fi接続履歴を調べる主な記録
WLAN-AutoConfig
中心になるのが、
Microsoft-Windows-WLAN-AutoConfig/Operational
です。
Wi-Fiへの接続、接続失敗、切断等に関するイベントが記録される場合があります。
MITRE ATT&CKの2026年版検知資料でも、WindowsのWi-Fi接続監視にこのログチャネルとイベントコード8001・8002・8003が使用されています。
ワイヤレスネットワークレポート
Windowsには、
netsh wlan show wlanreport
という標準機能があります。
Microsoftによると、生成されるHTMLレポートには過去3日間のWi-Fiイベントが接続セッションごとにまとめられます。SSID、使用したプロファイル、接続モード、セッション時間、切断理由、関連イベント等を確認できます。
ただし、これは長期間の完全なWi-Fi履歴ではありません。
保存済みWi-Fiプロファイル
netsh wlan show profiles
等から、Windowsに構成されているWi-Fiプロファイルを確認できます。
これは「このネットワーク設定がPCに存在する」という情報として有用ですが、接続セッションの一覧とは分けて評価します。
NetworkList
NetworkListには、Windowsが認識したネットワークに関する情報が保存されます。
MicrosoftはNetworkListのProfiles、Signatures\Managed、Signatures\Unmanaged等を、ネットワークプロファイルに関するレジストリとして示しています。
フォレンジック実務では、ProfileNameやDateCreated、DateLastConnected等を、ネットワークを最初・最後に認識した時期の手掛かりとして利用することがあります。
ただし、レジストリ上の一つの日時だけを「その時間に人物がその場所へいた証拠」とは扱いません。
SRUM等の補助記録
SRUM（System Resource Usage Monitor）では、アプリケーションやネットワークインターフェースに関するネットワーク利用量等を確認できる場合があります。
これは「その時間帯にネットワーク利用があったか」を補強する材料にはなりますが、
SRUMに通信量がある＝特定SSIDへ接続した
とは判断できません。
SSIDとの接続自体は、WLAN関連記録等と照合します。
WLAN-AutoConfigログから何が分かる？
WLAN-AutoConfigは、WindowsのWi-Fi接続を時系列で確認するうえで重要なログです。
代表的なイベントとして、
| イベントID | 主な意味 |
|---|---|
| 8001 | Wi-Fiネットワークへの接続成功 |
| 8002 | Wi-Fiネットワークへの接続失敗 |
| 8003 | Wi-Fiネットワークからの切断 |
があります。
MITRE ATT&CKは2026年5月更新の検知資料で、WindowsのMicrosoft-Windows-WLAN-AutoConfigについて8001・8002・8003をWi-Fi接続監視用イベントとして挙げています。MicrosoftのWindows評価資料でも8001を接続成功、8003を切断として記載しています。
8002についても、Windows 11の実際のイベント例では、SSID、ネットワークアダプター、接続モード、プロファイル名、失敗理由等が記録されています。
ただし、イベントIDだけを見て判断するのではなく、対象PCに保存されている実際のイベント本文を確認することが重要です。
OSのバージョンや接続方式、認証方式等によって、記録される項目や周辺イベントは変わります。
また、
接続を開始したこと
と
接続に成功したこと
も別です。
接続失敗イベントだけが残っている場合に、「そのWi-Fiを実際に利用した」と評価してはいけません。
SSIDとBSSIDは何が違う？
SSIDとBSSIDは、どちらもWi-Fi調査で登場しますが、意味が違います。
SSID
SSIDは、一般に利用者が画面上で見るWi-Fiネットワークの名前です。
Microsoftのワイヤレスネットワークレポートでも、SSIDはWi-Fiネットワーク名として表示されます。
例えば、
Office-WiFi
Guest-WLAN
等です。
ただし、SSID名は世界で一意ではありません。
同じ名称を別の会社、店舗、住宅、アクセスポイントで使用することもできます。
BSSID
BSSIDは、よりアクセスポイント側を識別するための情報です。
MicrosoftのWi-Fi API資料では、BSSIDをアクセスポイントのMACアドレスとして説明しています。
そのため、
SSID＝ネットワーク名
BSSID＝アクセスポイント側を識別する、より具体的な手掛かり
と整理できます。
ただし、
BSSID＝住所
ではありません。
SSIDからPCがいた場所まで分かる？
SSIDだけでは、通常は特定の物理住所まで断定できません。
例えばPCに、
Hotel-WiFi
というSSIDへの接続記録があっても、それだけで特定のホテルにいたとは言えません。
同じSSID名を、
- 別店舗
- 別支店
- 別アクセスポイント
- 別の会社や個人
が使用することも可能だからです。
ただし、企業が管理する固有SSIDについて、対象日時のWi-Fiコントローラー、RADIUS、DHCP、端末管理情報等と対応付けられる場合は、接続したネットワークをより具体的に確認できる可能性があります。
それでも、
PCがそのネットワークへ接続したこと
と
特定人物がその場所にいたこと
は分けて評価します。
BSSIDが分かれば場所を特定できる？
SSIDより具体的な手掛かりになりますが、BSSIDだけで住所を確定することはできません。
Microsoftは、BSSIDをアクセスポイントのMACアドレスとして扱っています。
また、WindowsではBSSID等の周辺Wi-Fi情報が端末の正確な位置推定に利用できることから、現在はBSSIDを取得する一部APIについて位置情報へのアクセス許可を求める設計になっています。
つまり、BSSIDは位置を調べるうえで有用な情報になり得ます。
しかし、
BSSIDそのものの中に住所が記録されているわけではありません。
外部のWi-Fi位置情報データ等と照合して位置候補を得られる場合もありますが、
- アクセスポイントの移設
- 機器交換
- モバイルルーター
- データの登録時期
- 未登録
- 誤った対応情報
等を考慮する必要があります。
したがって、
位置情報DBでBSSIDが住所Aに対応した＝対象PCがその日時に住所Aに存在した
と自動的に断定することはできません。
Wi-Fi接続履歴から誰がPCを使ったか分かる？
Wi-Fi接続履歴だけでは、実際の操作者まで確定できません。
確認できるのは基本的に、
そのPC・ネットワークインターフェースでWi-Fi接続に関する記録が残った
という事実です。
例えば、
- 共用PC
- 他の社員への一時貸与
- 第三者による操作
- 自動接続
- 遠隔操作
- PCを置いたままの状態
等もあり得ます。
人物との関係を調べる場合は、
- Windowsログオン
- PCの割当台帳
- 入退室記録
- 勤怠
- ファイル操作
- ブラウザ履歴
- アプリ実行履歴
- RDP等の遠隔接続
- EDR・端末管理ログ
等を時系列で照合します。
例えば、
Windowsログオン
↓
Wi-Fi接続
↓
ブラウザ・アプリ利用
↓
Wi-Fi切断
↓
ログオフ
という記録が近い時間帯にそろえば、PCの利用状況を具体化できます。
ただし、時刻が近いだけで、すべて同一人物による一連の操作だったと確定することはできません。
テザリング・モバイルルーターの接続も分かる？
Windows側にWi-Fi接続記録が残っていれば、確認できる場合があります。
スマートフォンのテザリングやモバイルルーターも、Windows PC側から見ればWi-Fiネットワークとして接続する形になります。
そのため、
- SSID
- Wi-Fi接続時刻
- 切断時刻
- 接続プロファイル
- 関連するネットワーク記録
等が残る可能性があります。
ただし、
テザリングのSSIDが分かった＝スマートフォンの所有者が分かった
とは限りません。
SSID名だけで、
- スマートフォンの所有者
- SIMの契約者
- 実際にテザリングを開始した人物
を確定することはできません。
削除したWi-Fiでも過去の痕跡は残る？
残っている場合がありますが、必ず確認できるわけではありません。
Wi-Fiプロファイルを削除すると、保存済みプロファイルそのものは確認できなくなることがあります。
しかし、Wi-Fiプロファイルとは別に、
- WLAN-AutoConfigのイベントログ
- NetworkList
- DHCP・TCP/IP関連情報
- SRUM
- その他のシステムログ
- VSSに含まれる過去状態
等に関連する記録が残っている可能性があります。
VSSのシャドウコピーは、ある時点のボリュームのスナップショットです。その時点のデータが残存していれば、現在とは異なる過去状態を調べる材料になる場合があります。
ただし、
Wi-Fiプロファイルを削除しても必ず復元できる
という意味ではありません。
記録の残存は、
- ログの保持状態
- 上書き
- PCの利用量
- OSや設定
- VSSの有無
- 調査までの経過
等によって変わります。
なお、netsh wlan show wlanreportで生成する標準レポートはMicrosoft公式では過去3日間が対象です。古い履歴を調べる場合、このレポートだけでは不十分です。
イベントログが残っていない場合はどう考える？
「イベントがない＝そのWi-Fiへ接続していない」とは限りません。
Windowsのイベントログは、設定や最大ログサイズ等によって古いイベントが上書きされることがあります。
Microsoftは、Retentionが上書きする設定の場合、最大ログサイズに達すると古いイベントレコードが上書きされると説明しています。
そのため、目的の日時のWLANイベントが見つからない場合は、
- 本当に接続していなかった
- 対象期間のイベントが上書きされた
- ログが十分に取得されていなかった
- 別のネットワークインターフェースを利用した
- 調査対象の記録範囲が足りない
等を区別する必要があります。
このとき、NetworkList、保存済みプロファイル、DHCP関連情報、SRUM、企業側のネットワークログ等が補助材料になります。
Wi-Fi接続後に何をしたかは別の記録で調べる
Wi-Fiへ接続したことが分かっても、そのネットワークを使って何をしたかは別の調査課題です。
例えばWi-Fi接続が確認できても、それだけでは、
- Webサイトを閲覧した
- メールを送信した
- Google Driveへアクセスした
- ファイルをアップロードした
- クラウド同期した
- 外部へ情報を送信した
とは判断できません。
Microsoftの現在のWi-Fiトラブルシューティング資料でも、Wi-Fiへの関連付けが正常でも、TCP/IP・DHCP・DNS等のネットワークアクセスが失敗する状態があることを明確に分けています。
つまり、
Wi-Fi接続成功＝インターネット通信成功
ではありません。
具体的な通信や操作を調べる場合は、目的に応じて、
| 調べたいこと | 主な確認候補 |
|---|---|
| Web閲覧 | ブラウザ履歴、キャッシュ等 |
| アプリのネットワーク利用 | SRUM、EDR等 |
| DNS名前解決 | DNS関連ログ・キャッシュ |
| 外部通信 | Firewall、Proxy、EDR等 |
| クラウド操作 | Google Workspace、Microsoft 365等の監査ログ |
| ファイルアップロード | ブラウザ・クラウドログ・ファイル操作・通信記録等 |
を照合します。
SRUMではアプリごとのネットワーク利用量等が記録される場合がありますが、通信量だけから特定ファイルのアップロードを断定することはできません。
Wi-Fi接続履歴で分かること・分からないこと
Wi-Fi関連の痕跡は、それぞれ示している事実が違います。
| 痕跡 | 比較的言いやすいこと | それだけでは言えないこと |
|---|---|---|
| 保存済みWi-Fiプロファイル | Wi-Fi設定がPCに構成されている | 特定日時に接続した |
| WLAN接続成功イベント | その時刻にWi-Fi接続成功が記録された | 実際の操作者本人 |
| WLAN切断イベント | Wi-Fi接続が切断された手掛かり | PC利用そのものが終了した |
| SSID | Wi-Fiネットワーク名 | 特定の住所 |
| BSSID | アクセスポイント識別の手掛かり | 住所・操作者の確定 |
| NetworkList | 過去に認識したネットワークや日時の手掛かり | 完全なWi-Fiセッション履歴 |
| SRUM | アプリ等のネットワーク利用の補助 | 特定SSIDへの接続そのもの |
| DHCP・IP情報 | 利用ネットワークを具体化する補助 | Wi-Fi接続だったこと |
| Wi-Fi接続記録 | PCがWi-Fiへ接続した | インターネットを利用した |
| 複数記録の時系列一致 | PCの利用状況を具体化できる | 特定人物・場所の完全な確定 |
フォレンジックでは、
記録が存在すること
と
その記録からどこまで事実を説明できるか
を分けることが重要です。
調査前に保存するもの・避けたい操作
単に自分のPCで最近のWi-Fi利用を確認するだけなら、イベントビューアーやwlanreport等で確認して問題ない場合があります。
一方、
- 社内不正
- 情報持ち出し
- 不審な外部Wi-Fi利用
- 退職者PC
- インシデント
- 懲戒処分
- 訴訟・紛争
等の証拠として調べる予定がある場合は、対象PCを不用意に操作する前に保全方法を検討します。
例えば、対象PC上で新たにコマンドを実行したり、ソフトウェアをインストールしたり、ネットワークへ接続したりすると、新しいログやファイルが作成・更新されます。
SWGDEはコンピュータフォレンジック取得の基本原則として、取得元データへの変更を可能な限り最小化することを挙げています。
証拠利用を想定する場合は、少なくとも、
- PCの識別情報
- 現在の電源状態
- ネットワーク接続状態
- 受領日時
- 既に行った操作
- 必要なイベントログ
- レジストリ
- 関連するネットワーク側ログ
等を整理し、必要に応じてディスクイメージ等の保全を検討します。
証拠保全の考え方については、デジタルフォレンジックPROの「デジタルフォレンジックの証拠保全とは？」でも詳しく解説しています。
自社確認で足りる場合とフォレンジック調査を検討する目安
必要な調査の深さは、「Wi-Fi名を知りたい」のか、「第三者へ事実関係を説明したい」のかで変わります。
| 状況 | 自社確認で対応しやすい | フォレンジック調査を検討 |
|---|---|---|
| 保存済みWi-Fiの一覧を確認 | ○ | 必須ではない |
| 最近3日程度のWi-Fiセッションを確認 | ○ | 条件による |
| 特定日時のSSID接続を確認 | ○ | 古い記録や複数証拠の照合が必要なら検討 |
| 削除済みWi-Fiの痕跡を調べたい | △ | ○ |
| PCがいた場所を証拠として評価したい | △ | ○ |
| 誰がPCを操作したかまで確認したい | △ | ○ |
| Wi-Fi接続後の情報持ち出しを調べたい | △ | ○ |
| 懲戒・訴訟等で調査結果を使用したい | △ | ○ |
自社で確認する場合も、
Wi-Fi接続
人物
場所
通信内容
を一つの事実としてまとめないことが重要です。
株式会社赤井事務所／デジタルフォレンジックPROでは、Windows PCに残るイベントログ、レジストリ、ファイル操作履歴等を複数照合し、確認できた事実と断定できない部分を分けて調査します。
「会社PCが外部のWi-Fiへ接続されていたのか」「その時間帯に何が行われたのか」まで確認する必要がある場合は、対象期間、PCの現在の状態、疑いのある日時やSSID等を整理しておくと調査範囲を決めやすくなります。
まとめ
Windowsでは、WLAN-AutoConfig、ワイヤレスネットワークレポート、保存済みWi-Fiプロファイル、NetworkList等から、過去のWi-Fi利用に関する痕跡を確認できる場合があります。
重要なポイントは次のとおりです。
- 保存済みWi-Fiプロファイルと実際の接続履歴は別
- WLAN-AutoConfigは接続・失敗・切断を調べる重要な記録
wlanreportの標準レポートは過去3日間のWi-Fiイベントが対象- SSIDはネットワーク名であり、住所ではない
- BSSIDはアクセスポイントを識別する重要な手掛かりだが、住所そのものではない
- PCがWi-Fiへ接続したことと、特定人物がその場所にいたことは別
- Wi-Fi接続とインターネット通信は別
- イベントログがないことだけで、接続していなかったとは判断できない
- 削除済みWi-Fiでも別のアーティファクトに痕跡が残る場合がある
- 人物、場所、通信内容まで調べる場合は複数の証拠を時系列で照合する
Wi-Fi履歴は「PCがどのネットワークと関係したか」を調べる有力な証拠源です。
一方で、PCの接続記録を、そのまま人物の行動履歴として扱わないことが重要です。
参考資料
技術資料確認日：2026年9月13日
- Microsoft Support「ワイヤレス ネットワークのレポートを分析する」
- Microsoft Learn「netsh wlan」
- Microsoft Learn「Domain-joined machines can't detect the domain profile」— NetworkList / NLA関連
- Microsoft Learn「Native Wifi」— WLANプロファイル
- Microsoft Learn「WiFiAvailableNetwork.Bssid Property」
- Microsoft Learn「Changes to API behavior for Wi-Fi access and location」
- Microsoft Learn「Event Log Records」
- MITRE ATT&CK「Detection Strategy for Wi-Fi Networks」
- SWGDE「Best Practices for Computer Forensic Acquisitions」
- Cyber Triage「How to Find Evidence of Network Windows Registry」
