メール・コミュニケーション

メール・コミュニケーションのフォレンジックでは何を調べる？

メールフォレンジックでは、メール本文だけでなく、送受信日時、送信元・送信先、メールヘッダー、Message-ID、添付ファイル、削除記録、OutlookのPST・OST、クラウドやメールサーバー側の記録などを確認します。

社内不正や情報持ち出しの調査では、「メールが送信された」「本文を確認できた」「添付ファイルが送られた」「特定人物が操作した」「情報漏えいに該当する」といった事実を分けて評価することが重要です。

一つのメールやログだけで結論を出すのではなく、メールボックス、クラウド、対象PC、ファイル、認証ログなどを時系列で照合します。

メールフォレンジックで確認できる証拠と調査方法を詳しく見る

メールの送受信・配送記録を調べる

メール本体やサーバー側の記録から、送信元、送信先、日時、件名、配送状態などを確認できる場合があります。

ただし、「送信操作が行われたこと」「メールサーバーが受け付けたこと」「相手側へ配送されたこと」は必ずしも同じ意味ではありません。

Microsoft 365・Exchange等では、メールボックスの内容とは別に、配送や監査に関する記録を確認できる場合があります。取得できる情報はサービス、契約、保持期間、管理者権限などによって異なります。

削除されたメールを調べる

Outlook等でメールが削除されていても、PST・OST、削除済みアイテム、Recoverable Items、保持されたメール、クラウド側のデータなどから確認できる場合があります。

ただし、削除されたメールが必ず完全に復元できるわけではありません。

「削除された痕跡を確認できたこと」と「削除前の本文・添付ファイルを完全に回収できたこと」は別の事実です。

Outlookの削除メール・PST・OST・Exchangeに残る証拠を調べる

添付ファイルを調べる

メールに添付されたファイルについては、ファイル名、サイズ、MIME構造、Content-Type、添付ファイル本体などを確認します。

PC側に同じ名前のファイルが存在する場合でも、ファイル名だけで同一ファイルと判断することはできません。

必要に応じてファイルサイズ、タイムスタンプ、SHA-256等のハッシュ値、PC側のMFT・USN、LNK・Jump Listsなどを照合します。

ハッシュ値が一致すれば同じ条件で取得したバイト列の同一性を強く確認できますが、それだけで誰が送信したか、どのような目的だったかまで分かるわけではありません。

メールヘッダー・Message-IDを確認する

メールヘッダーには、From、To、Cc、Date、Message-ID、Received、Return-Path、Authentication-Resultsなど、メールの識別や配送経路を確認するための情報が含まれています。

Message-IDは、メール本体や複数のログに残る記録を照合するときの重要な手掛かりになります。

ただし、Message-IDやメールヘッダーだけで、メール本文の内容、添付ファイルの内容、実際に端末を操作した人物まで特定できるわけではありません。

OutlookのPST・OSTを調べる

Outlook環境では、PSTやOSTにメール、添付ファイル、フォルダ構造などが残っている場合があります。

一方、PST・OSTだけでメールサーバー上のすべての履歴や操作を確認できるとは限りません。

Microsoft 365・Exchange環境では、メールクライアント側のデータと、クラウド側のメール・監査・配送記録を分けて確認します。

メール側とPC側の証拠を照合する

メールによる情報持ち出しが疑われる場合は、メールだけでなく対象PCの証拠を確認することが重要です。

例えば、添付された可能性があるファイルについて、PC上の保存場所、MFT・USN、LNK・Jump Lists、ファイル操作、ブラウザ、USB、圧縮ファイルなどを確認します。

これにより、「PC上にファイルが存在した」「そのファイルが利用された」「メールに添付された」「外部へ配送された」という各段階を分けて整理できます。

Windows・PCフォレンジックでPC側に残る証拠を確認する

Microsoft 365・Google Workspace側の記録も確認する

Microsoft 365やGoogle Workspaceを利用している場合は、メールクライアントだけでなくクラウド側に残る監査ログ、配送記録、メールデータ、認証記録などが調査対象になる場合があります。

クラウド側で確認できる情報は、サービス、ライセンス、保持期間、監査設定などによって異なります。

Microsoft 365・Google Workspaceなどのクラウドフォレンジックを見る

メール調査で確認する主な証拠

• メール本体（EML・MSG等）
• OutlookのPST・OST
• メールヘッダー
• Message-ID
• 添付ファイル
• ファイルのハッシュ値
• Microsoft 365・Exchange側の記録
• Google Workspace・Gmail側の記録
• メールアカウントの認証・監査ログ
• 対象PCのファイル・ブラウザ・操作履歴

どの証拠を使用するかは、「送信の有無を確認したい」「削除メールの内容を確認したい」「添付ファイルを特定したい」「実際の操作者を調べたい」など、調査目的によって変わります。

アカウント名と実際の操作者を分けて考える

特定のメールアカウントから送信された記録があっても、必ずしもアカウント名義人本人が操作したとは限りません。

共有端末、保存済み認証情報、アカウント共有、認証情報の漏洩、遠隔操作などが存在する可能性があります。

必要に応じて、Windowsログオン、IPアドレス、クラウドの認証記録、端末情報、MFA、ブラウザやOutlookの利用状況などを照合します。

外部送信が確認されても情報漏えいとは限らない

社外アドレスへメールや添付ファイルが送信された事実が確認できても、その事実だけで不正な情報持ち出しや情報漏えいと判断することはできません。

正規の業務送信、取引先への送信、承認済みの送信、誤送信などの可能性もあるため、送信内容、業務上の必要性、権限、社内規程、承認の有無などを確認します。

調査前にメールやアカウントを不用意に削除しない

退職者や不正が疑われる社員のメールアカウントをすぐに削除したり、PCからOutlookデータを削除したりすると、後から必要な証拠を確認できなくなる可能性があります。

対象期間、メールアカウント、利用PC、メールサービス、保持設定などを確認し、必要なデータを保全してから削除・初期化等を検討します。

メールフォレンジックでは確認できた事実と未確認事項を分ける

メール調査では、回収できなかったデータを「存在しなかった」と置き換えないことが重要です。

例えば、送信記録が確認できても本文を回収できなければ、「送信に関する記録は確認できたが、本文は確認できなかった」と整理します。

証拠がどの範囲まで事実を支えているかを明確にし、メール、クラウド、PC側の証拠を組み合わせて評価します。