USBメモリの接続履歴を調査｜ファイルコピー・情報持ち出しの痕跡

本記事について
デジタル・フォレンジック調査ラボの継野代表が、実際の調査現場で得られた知見をもとに作成しています。個々の案件の内容は、依頼企業様・対象者様の特定を避けるため、複数の実際の案件に共通するパターンとして一般化した形でのみ紹介しています。

退職手続きの書類にサインをもらった翌週、総務担当者からこんな相談を受けることがあります。

「辞めた社員が、最後の出社日に見慣れないUSBをPCに挿していたらしいんです。あれ、もしかして顧客リストとか持ち出されてないですよね……」

実際の相談では、退職直前や最終出社日のUSB利用をきっかけに、情報持ち出しの有無を確認したいというご相談が繰り返し寄せられます。その裏にあるのは、「USBが挿されていた＝データを盗まれた」という不安です。しかし実際の調査では、「USBが使われた」ことと「ファイルがUSBへコピーされた」ことは別として切り分ける必要があります。

この記事を読めば、次の3つができるようになります。

• 「今すぐ本格調査が必要か」「まず簡易確認で十分か」を自分で判断できる
• USB本体がない場合でも、どこまで戦えるか・どこから外部に頼るべきかを見極められる
• 証拠を消してしまう「やってはいけない初動対応」を避け、後から後悔する事態を防げる

USB利用の有無だけでなく、前後のファイル操作や通常時との差まで確認してきた実務の知見をもとに、どこまで分かり、どこから先は分からないのかを整理して解説します。

よくある質問｜まず知りたい2つのポイント

――USB接続履歴を調べれば、どのファイルをコピーしたか特定できますか？

継野:
USB接続履歴だけでは、どのファイルをコピーしたかまでは特定できません。ただし、USB本体がなくても、PCに残るさまざまなアーティファクトを解析することで調査できます。

Windows PCには、USBの接続履歴だけでなく、ファイルシステム、ファイルの作成・更新・アクセス履歴、ショートカットファイル、ジャンプリスト、最近使用したファイル、イベントログなど、USB利用やファイル操作に関連するさまざまな痕跡が残ることがあります。

これらを個別に見るのではなく、複数のアーティファクトを時系列で突き合わせることで、「いつUSBが接続されたか」「その前後にどのファイルが操作されたか」「どのようなファイル群が持ち出された可能性があるか」まで絞り込んでいきます。

USB本体も確保できている場合は、PC側の痕跡とUSB内のファイルを直接比較できるため、さらに具体的な確認が可能です。つまり、USB本体がなくても調査はでき、USB本体があれば確認できる範囲や精度がさらに高まるという違いです。

また、USB接続履歴そのものが削除されていた場合でも、別のアーティファクトに関連する痕跡が残っていれば、過去のUSB利用やファイル操作を追えることがあります。

――不審なUSB利用に気づいたら、まず何をすべきですか？

継野:
証拠保全や社内の人事・法務対応方針を整理する前に、対象者本人への確認や、証拠を探すためのPC操作を先行させないでください。 先に本人へ確認したり、PCを操作し続けたりすると、USBの取り外しやファイル操作によって証拠が変質・消失するおそれがあります。まずは対象PC・USB等を確保することが重要です（詳しくは後述します）。

まずUSB利用の有無を確認したい場合は「情報持ち出し 初動診断」

「本格的なフォレンジック調査が必要か、まだ判断できない」「まず退職者PCに不審なUSB利用がないか確認したい」という企業向けに、デジタルフォレンジックPROでは「情報持ち出し 初動診断」を提供しています。

• 費用：16,500円（税込）
• 対象：Windows PC 1台
• 調査内容：USB接続履歴、外部デバイスの識別情報、接続時期・頻度の確認
• NDA：秘密保持契約を締結のうえ対応
• 報告方法：PDF簡易レポートでご提出

この診断は、USB利用の形跡を初動段階で確認するものであり、USB利用が見つかっただけで情報持ち出しを断定するサービスではありません。ファイル操作、圧縮・削除、USB本体、メール・クラウドなどまで確認する必要がある場合は、詳細なデジタル・フォレンジック調査へ進みます。

結論｜USB接続履歴だけでは「持ち出したファイル」までは分からない

USB接続履歴だけで「どのファイルをコピーしたか」を特定することはできません。 一方、USB本体や周辺システムのログまで確保できれば、確認できる範囲は大きく広がります。手元にある証拠によって、どこまで言えるかは次のように変わります。

手元にあるもの	分かりやすいこと	限界
PCのみ	USB利用の時期・頻度、周辺のファイル操作	コピー対象の断定は難しい
PC＋USB本体	同一ファイルの比較、USB内の削除痕跡等	操作者・コピーの方向は別途検討が必要
PC＋USB＋EDR/DLP等	時系列や外部転送の裏付けを強化できる	保存期間・ログ設定に依存する

重要なのは、「USB利用の確認」と「情報持ち出しの立証」を分けて考えることです。USB本体まで確保できれば、PC側とUSB側のファイル名・内容・ハッシュ値・タイムスタンプ・削除データなどを比較でき、対象ファイルを特定できる可能性は高まります。PCしかない場合は、関連の可能性が高いファイル群までは絞り込めても、過去のコピー操作を完全に再現できないことがあります。

調査における評価の考え方
弊社では、USB接続の痕跡が確認できたという事実だけをもって「情報持ち出しあり」とは評価しません。実務上は、次の3つの軸を組み合わせて総合的に判断する運用にしています。
1. 通常時との比較：普段から使われているUSBか、退職前だけ突然現れたものか
2. 同時間帯の他の操作：重要ファイルへのアクセス、大量のファイル操作が重なっていないか
3. 圧縮・削除の痕跡：データをまとめて外部へ持ち出す準備をした形跡がないか

いずれか1つだけでは「疑いが高い」とは評価せず、複数が同じ時間帯に重なって初めて詳細調査の対象とする、というのが基本方針です。

この章のポイント

• USB接続履歴＝痕跡の「入口」に過ぎず、持ち出しの証明にはならない
• 「USB利用の確認」と「情報持ち出しの立証」は別問題として扱う
• 手元にある証拠の組み合わせによって、言える範囲が段階的に広がる

USB調査で重要なのは「何が残っているか」より「その痕跡で何を言えるか」

Windowsでは、USBメモリや外付けHDD・SSDを利用すると、複数の場所に関連する痕跡が残ることがあります。

痕跡	分かることの例	これだけでは分からないこと
USBデバイス関連情報	過去に認識された機器の識別情報	コピーしたファイル
SetupAPI.dev.log [1]	デバイスの認識・インストールに関する情報	USBのすべての利用履歴
Windowsイベントログ [2]	設定に応じたデバイス・操作関連情報	常にすべてのUSB利用が記録されるわけではない
LNK・Jump Lists [3]	開いたファイルや保存場所の手掛かり	USBへのコピーそのもの
MFT・USNジャーナル [4][5]	NTFS上のファイル・フォルダ変更の手掛かり	USBへの転送を直接示す記録
ZIP等の圧縮・削除痕跡	持ち出し前のデータ整理を疑う材料	そのZIPをUSBへコピーしたか

フォレンジック調査では、痕跡があることと、その痕跡が何を証明するかを分けて評価します。 例えば、USNジャーナルに大量のファイル操作が残っていても、それだけで「USBへコピーした」とは言えません。PCとUSBに同じハッシュ値のファイルが存在する場合も、内容の同一性を示す材料にはなりますが、コピー元・コピー先・操作した人物まで自動的に証明できるわけではありません。

代表コメント①
実務で意識しているのは、「ログがある＝不正の証拠」ではないという点です。「退職前日にUSBが接続されていた」という相談だけで持ち込まれるケースは珍しくありませんが、過去数か月分を確認すると、実は毎週同じUSBを業務利用していた、というのはよくあるパターンです。USNジャーナルに大量の操作履歴が残っていても、それだけでは「何が」行われたかまでしか分からず、「誰が、なぜ」行ったかは別の証拠と組み合わせて初めて評価できます。複数の痕跡が同じ時系列を指しているかを常に確認することが重要です。

また、USB側のファイルシステムがNTFS・exFAT・FAT32のどれかによって、確認できる情報の解像度も変わります。NTFSではMFTやUSNジャーナルなど、ファイルや変更履歴の調査に利用できる情報が比較的多く残ります。一方、FAT32やexFATにはNTFSと同じ変更ログ機能がないため、過去の操作を再構成するために利用できる情報が少なくなる場合があります。そのため、「USB本体から何も出てこなかった」という事態が起こりやすくなります。

代表コメント②
「FAT32だから復元できない」わけではありません。実際にはファイルサイズや使用状況によって復元できる範囲は変わります。逆に「NTFSだから安心して調査できる」わけでもなく、上書きの頻度や空き容量によっては、NTFSでも痕跡が失われているケースは珍しくありません。ファイルシステムの種類は「調査の解像度の目安」であって、「結論を決めるもの」ではない、という点は依頼企業様にも必ずお伝えしています。

ドライブレターもUSB固有の識別子ではないため、「E:ドライブだったから同じUSB」といった単純な判断はできません。実務では、USBデバイスのベンダーID・プロダクトID・シリアル番号を組み合わせた固有情報をもとに、問題のUSBと同一の機器かどうかを絞り込みます。

この章のポイント

• 痕跡の「有無」と「何を証明できるか」は別問題
• FAT32はNTFSより削除痕跡の解像度が粗い傾向があるが、絶対的な基準ではない
• ドライブレターではなくシリアル番号等の固有情報でUSBを特定する

USB利用から情報持ち出しの疑いまで、証拠の重なりでどこまで言えるか

調査結果は、証拠の残り方によって大きく3段階に分かれます。

1．USB利用の事実まで確認できる

USBに関連する痕跡はあるものの、ファイル操作などの証拠が十分残っていないケースです。「このUSBが使われていた可能性が高い」ところまでは確認できても、それ以上の結論を出せないことがあります。

2．持ち出しが疑われるファイル群まで絞り込める

例えば、次のような痕跡が同じ時間帯に重なっているケースです。

• 普段使われていないUSBの接続痕跡
• 直後に重要ファイル（顧客情報・営業資料等）を扱った痕跡
• 対象フォルダ内で通常より多いファイル操作
• 複数資料をまとめたZIPファイルの作成と、その後の削除

このように複数の痕跡が短時間に集中している場合、USB利用だけが確認されたケースより疑いは強まります。ただし、確認できる事実はあくまで個々の痕跡の集合です。「USBへ移すためにデータをまとめた可能性がある」とは評価できても、別の証拠がなければ「作成したZIPをそのUSBへコピーした」とまでは断定できない場合があります。

反対仮説も忘れずに検討する
同じ痕跡の組み合わせでも、正規のバックアップ作業、業務上の資料整理、メール添付用の圧縮、別端末への正規移行など、業務上合理的な説明が成立することがあります。複数の異常が重なれば疑いは強まりますが、それだけで業務上の合理的な説明を排除できるとは限りません。

代表コメント③
デジタルフォレンジックにおいては、個々の痕跡ではなく、痕跡同士が同じ時間帯に集中しているかどうかが重要な判断材料になります。例えば、機密情報を含むZIPファイルが作成され、その直後にUSBが接続され、さらにそのUSBへ当該ファイルが保存されたことまで確認できれば、情報持ち出しを強く裏付ける材料になります。一方で、ZIPの作成やUSBの接続といった痕跡が単独で確認されただけでは、それぞれ別の合理的な説明が成り立つ可能性があります。

弊社では、対象者がどのような操作を行った可能性があるのか仮説を立て、その仮説と整合する証拠を確認すると同時に、ほかに合理的な解釈が成り立たないかも検討することを重視しています。

3．USB内の対象ファイルまで比較的明確に確認できる

USB本体も確保でき、PC側とUSB側を直接比較できるケースです。ここで言えることと言えないことは、次のように整理できます。

確認できる事実	USB内に、PC側と同一ハッシュ値のファイルが存在する
合理的に推定できること	当該ファイルの内容がPC上のファイルと同一である
この証拠だけでは言えないこと	PCからUSBへコピーされたこと、誰が操作したか

複数の証拠が一致するほど評価の精度は上がりますが、最後の「操作した人物」や「コピーの経路」は、アクセスログや入退室記録など別の証拠と組み合わせて初めて評価できることが多く、USBとPCの比較だけで断定しないことが重要です。

フォレンジック調査では、確認できた事実、合理的に推定できること、証拠上分からないことを分けて報告します。この3つを混同しないことが、調査結果の信頼性を左右します。

この章のポイント

• 証拠の重なりが増えるほど、言える範囲は広がる
• ただし「事実」「推定」「言えないこと」を混同しない
• 同じ痕跡パターンでも、業務上合理的な説明が成立する場合がある

まず現状を知りたい方へ
「自社の場合、この3段階のどこに当てはまるのか分からない」という段階であれば、情報持ち出し 初動診断（16,500円・税込） でUSB利用の有無だけを先に確認することもできます。結果を踏まえて、詳細調査に進むべきかを判断できます。

以下の2つの事例は、依頼企業様・対象者様の特定を避けるため、実際に対応した複数の案件に共通する要素を組み合わせて再構成したものです。特定の企業・個人を示すものではありません。守秘義務を厳格に守る姿勢は、個々の企業様からお預かりする情報の取り扱いにもそのまま反映しています。

＜傾向1＞USBは使われていたが、情報持ち出しとは判断しなかったケース

項目	内容
相談内容	退職者のPCで、退職直前に見慣れないUSBが使われた形跡があるとの相談
調査対象	Windows PC
確認した範囲	PCから抽出された退職前後、3か月分のログ
調べた痕跡	USBデバイス関連情報、ファイル操作履歴、通常時のUSB利用頻度
報告内容	USB利用は確認できたが、情報持ち出しを裏付ける証拠は確認されなかった旨

退職前後、3か月分のログを調査したところ、確かに退職前日に接続されたUSBだけを見ると不審でした。しかし履歴を時系列化すると、同じデバイスがそれ以前にも月に10回ほど確認され、接続曜日にも一定の傾向がありました。

このケースで重要だったのは、退職直前だけを切り取らず、通常時のUSB利用と比較したことです。退職前にUSBが使われたという事実だけで、不正とは判断できません。

次の＜傾向2＞は、同じUSB利用でも詳細調査に進む判断となった例です。

＜傾向2＞複数の異常が重なり、詳細調査へ進んだケース

項目	内容
相談内容	機密情報の持ち出しが疑われるとの相談
調査対象	Windows PC
確認した範囲	PCから抽出された退職前後、3か月分のログ。IAMの社員アクセスログ
調べた痕跡	USBデバイス関連情報、ファイル操作履歴、圧縮・削除痕跡、対象者のシステムアクセス時間
報告内容	一部ファイルについて持ち出しの可能性を否定できないと報告

このケースでは、退職予定日の直前になって、それまで使用が確認されていなかったUSBが複数回接続されていました。クラウド上に保存されていた持ち出しが疑われるファイルが当該USBに保存されていたことを示す痕跡も確認されました。

そのため、USB本体解析、削除データ解析、メール・クラウド調査へと進みました。詳細調査へ進む根拠となったのは、USB接続そのものではなく、複数の異常が同じ時間帯に集中していたことです。

この章のポイント

• 同じ「USB利用あり」でも、通常時との比較次第で結論は正反対になる
• 詳細調査へ進むかどうかは、痕跡の「数」ではなく「重なり」で判断する

USBだけでなく、メールやクラウドも確認する

情報の持ち出し経路はUSBだけではありません。代表的には、個人メール・Webメール、クラウドストレージ、ファイル転送サービス、チャットツール、外付けHDD・SSD、スマートフォンなどの外部デバイスがあります。企業環境によっては、PC内の痕跡に加えて、EDR、DLP、ファイルサーバー、クラウドサービスのログが残っている場合もあります。

そのため退職者調査では、USBだけを見るのではなく、退職前に通常時と比べて何が変わったかを見ることが重要です。

情報持ち出しを疑ったら、先にPCを保全する

不審なUSB利用が見つかった場合、証拠を探すためにPCを操作し続けるのは避けるべきです。PCを操作すると、新たなファイルアクセスやログが発生し、既存の痕跡が上書きされる可能性があります。

特に、次のような操作は避けてください。

• ファイルを次々に開く
• Windows検索を繰り返す
• ファイルを削除・整理する
• 新しいUSBを接続する
• PCを初期化する
• 状況を確認せず電源状態を変更する

本人への確認自体を永久に避けるべきということではありません。ただし、証拠保全や社内の人事・法務対応方針を整理する前に確認を先行させると、その後の対応の選択肢を狭めてしまうことがあります。

まず整理したいのは次の4点です。

1. 対象PC・USB等を確保する

2. 誰のPCで、いつ頃の行為を疑っているか整理する

3. 持ち出された可能性がある情報を整理する

4. 最終的に何を明らかにしたいか決める

「USBを使ったか確認したい」のか、「持ち出されたファイルを特定したい」のか、「懲戒・訴訟に備えて操作を時系列で説明したい」のかによって、必要な調査は変わります。法的対応を想定する場合は、誰が・いつ・どの端末をどのように扱ったかを説明できる形で証拠を保全し、必要に応じて弁護士等と連携することが重要です。

この章のポイント

• 調べようとして自分でPCを操作すると証拠が上書きされる
• まず「確保」、本人への確認や社内対応方針の検討はその後
• 目的（確認／特定／法的対応）によって必要な調査範囲が変わる

まとめ｜「USBが使われた」と「情報が持ち出された」は分けて判断する

USBを使った情報持ち出し調査で重要なのは、次の3点です。

• USB接続履歴だけでは、持ち出されたファイルを断定できない
• USB利用、ファイル操作、圧縮・削除など複数の痕跡を時系列で照合し、業務上合理的な説明が成立しないかも検討する
• 調査前に対象PCを不用意に操作しない

これらはすべて、本記事で繰り返し述べてきた「確認できる事実／合理的に推定できること／証拠上言えないこと」という3つの区分の応用です。この区分を意識するだけで、社内での不安な憶測が先走ることを防げます。

「退職者のPCに不審なUSB利用がないか確認したい」「どのファイルが持ち出された可能性があるのか知りたい」「本格的なフォレンジック調査が必要か判断したい」——この段階からご相談いただけます。

参考資料

[1]: Microsoft Learn「SetupAPI のデバイス インストールのログ エントリ」https://learn.microsoft.com/ja-jp/windows-hardware/drivers/install/setupapi-device-installation-log-entries

[2]: Microsoft Learn「ポリシー CSP - 監査」／「Monitor the Use of Removable Storage Devices」https://learn.microsoft.com/ja-jp/windows/client-management/mdm/policy-csp-audit　／　https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-r2-and-2012/jj574128(v=ws.11)

[3]: Microsoft Learn「[MS-SHLLINK]: Shell Link (.LNK) Binary File Format」https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-shllink/16cb4ca1-9339-4d0c-a68d-bf1d6cc0f943

[4]: Microsoft Learn「履歴の変更」https://learn.microsoft.com/ja-jp/windows/win32/fileio/change-journals

[5]: Microsoft Learn「マスター ファイル テーブル」https://learn.microsoft.com/ja-jp/windows/win32/devnotes/master-file-table