削除ファイルは復元できる？フォレンジックで分かる痕跡と限界

2026年9月9日 2026年9月23日

デジタル・フォレンジック調査ラボ

削除されたファイルは、媒体、削除方法、削除後の利用状況、上書き、SSDのTRIMなどの条件によって、復元できる場合とできない場合があります。ただし、ファイル本体を復元できなくても、存在・参照・変更・削除に関係する痕跡が残っていることがあります。 フォレンジックでは、「データを取り戻すこと」と「残された記録から操作の経緯を調べること」を分けて考えます。Microsoftの削除ファイル復元に関する説明、NTFSの変更ジャーナルの説明

会社PCの重要ファイルや退職者PCのデータが消えている場合、まず調べたいのは、内容そのものなのか、削除日時や持ち出しとの関係なのかを整理してください。証拠として調べる可能性があるなら、対象PCへの復元ソフトのインストール、初期化、業務利用の再開は、取得方針を決めるまで控えるのが基本です。

電源が入っているPCは、暗号化の解除状態や消えやすい情報も考慮する必要があります。一律に電源を切らず、現在の画面・電源状態と、それまでに行った操作を記録し、社内IT担当者や調査担当者へ引き継ぎます。電源が切れている場合は、確認目的で起動しないでください。NIST SP 800-86：データ取得時の留意点

削除ファイルだけでなく、Windows PCに残るファイル操作、USB利用、Web閲覧、ログオンなどの証拠や、PCフォレンジック全体で確認できる範囲については、PCフォレンジックで何が分かる？Windows PCに残る証拠と、確認できること・できないことで整理しています。

削除ファイルだけでなく、MFT・USN、LNK・Jump Lists、USB接続、ファイル操作などWindows PCに残る証拠全体を確認したい場合は、Windows・PCフォレンジックで、主な調査項目と確認方法をまとめています。

データ復旧とフォレンジックでは、確認するゴールが違う

データ復旧の主な目的は、失われたファイルを再び利用できる状態にすることです。フォレンジックの目的は、残されたデータや記録を保全・解析し、何が起きたか、その根拠と限界を説明することです。復元は、フォレンジックで使う手段の一つです。

調査結果も、次のように分けて読む必要があります。

得られた結果	確認できる範囲	注意点
ファイル本体を取得できた	取得したファイルの内容	削除直前の完全な版か、破損や欠落がないかは別途検証する
ファイルの一部・断片を取得できた	残っている範囲の文字列やデータ	文書全体の意味、元のファイル名・保存先を確定できるとは限らない
ファイル名や操作記録だけが残った	存在・参照・変更・削除を検討する手掛かり	内容の復元とは区別する
バックアップなどから過去の版を取得できた	その保存時点の内容	元媒体の削除領域から復元したものとは区別する

たとえば、ファイルの特徴的な構造を探して断片を取り出す方法では、別のデータが混じる可能性もあります。「復元ソフトがファイルを出力した」「文書が開けた」だけで、元の内容が完全に戻ったとは評価できません。NISTのデジタル調査技術に関する科学的基盤レビュー

「本体が戻らないから何も分からない」も、「名前や履歴があるから内容まで分かる」も、どちらも適切ではありません。

ごみ箱・Shift＋Delete・初期化で、何が変わるのか

WindowsのローカルPCを主な想定として整理します。実際の挙動は、OS、ファイルシステム、アプリ、媒体、設定によって変わります。共有フォルダやクラウド上の削除を、ローカルPCのごみ箱と同じ仕組みで判断することはできません。

操作・状態	本体の復元を考えるポイント	痕跡を調べるポイント
通常の削除で、ごみ箱へ移動	ごみ箱に本体が残っていれば、標準機能で戻せる場合がある	元の保存先や、ごみ箱へ移動した時刻に関係する記録を確認する
ごみ箱を空にする	ごみ箱から戻す方法が使えなくなる。残存領域や別の保存先を調べる	ごみ箱記録も失われ得るため、ファイルシステムや参照履歴などを併せて調べる
Shift＋Deleteなど、ごみ箱を経由しない削除	ごみ箱を経由しないことと、内容が上書き消去されることは別	ごみ箱記録がないだけで、削除の有無や方法を断定しない
アプリ側での削除	通常のファイル削除、データベース内の削除、クラウド同期などで挙動が異なる	アプリログ、独自のごみ箱、版履歴、サーバー側記録を確認する
フォーマット	クイックか、上書きを伴う処理か、TRIM通知が行われたかで条件が変わる	古い管理情報が失われる可能性がある。実行方法と残存記録を調べる
OS初期化・再インストール	ファイル保持・全削除・ドライブのクリーニングなど、選択した処理を確認する	OSの再配置や新たな書き込みで、以前の記録が失われ得る
ファイルや領域への上書き	同じ領域の旧データが置き換わると、元の内容の回収が難しくなる	別の領域にある操作記録や、独立したバックアップまで消えるとは限らない
Secure Eraseなどの媒体消去	機器と方式に適した消去が正しく完了しているかが重要	対象媒体の外にある記録やバックアップは、別に確認する
バックアップからも削除	世代、保存期間、別保管先、サービス独自の復元機能を確認する	一つのバックアップから見つからないことだけで、過去の存在は否定できない

ごみ箱を空にした後や、Shift＋Deleteの後でも、条件によって本体を回収できる可能性はあります。一方、「完全削除」という表示や呼び方だけでは、内容の上書きや媒体消去まで実行されたかは分かりません。Microsoft Windows File Recovery

特にSSDでは、クイックフォーマットでもTRIM通知が関係する場合があります。また、Windowsの初期化には複数の選択肢があり、「初期化した」という申告だけで復元可否を判定できません。Microsoftのformat仕様、PCのリセットに関する公式説明

適切な媒体消去が完了した対象について、専門業者なら必ず復元できると考えるのも誤りです。NISTの媒体消去ガイドラインも、方式・対象・検証を踏まえて消去の有効性を扱っています。NIST SP 800-88 Rev. 2

HDDとSSDの違い――TRIM・上書き・暗号化を分けて考える

HDDは、削除後の領域が残っているかを確認する

NTFSでは、ファイル削除に伴って管理上の領域が再利用可能になります。そのため、削除された内容がまだ残り、必要な情報を読み出せる場合には復元の余地があります。ただし、上書き、ファイルの断片化、管理情報の再利用、媒体故障などによって結果は変わります。HDDでも復元は保証できません。MicrosoftのMFT解説、Windows File Recovery

経過時間だけで「何日以内なら大丈夫」とは判断できません。短時間でも大量の書き込みがあれば状況は変わり、反対に時間が経っていても別保管のバックアップが残っている場合があります。

SSDのTRIMは「不要になった領域の通知」、内部消去は別の処理

TRIMは、OSなどがSSDに対し、不要になった領域を知らせる仕組みです。SSD内部では、ガベージコレクションと呼ばれる処理で有効なデータの整理やブロックの消去を行います。TRIMの通知と、内部の物理的な消去は同じ処理ではありません。MicrosoftのTRIM／UNMAP解説、KingstonのTRIM・ガベージコレクション解説

復元可否は、通知の実行状況、接続経路、SSDのコントローラーやファームウェア、内部処理、取得時に読み出せるデータなどに左右されます。「SSDなら絶対に復元できない」「TRIMが無効なら必ず戻る」といった判定はできません。KingstonのSSD消去に関する説明

Windowsで現在のTRIM設定を確認しても、それは過去の特定ファイルに対する通知や消去完了の証明にはなりません。この点は、設定値と実際の記録を区別して評価します。Microsoftのfsutil behavior仕様

BitLockerは「暗号化を解除して読めるか」という別の条件

BitLockerはボリュームを暗号化する機能です。調査では、媒体を取得できることに加え、権限のある方法で暗号化された内容へアクセスできるかを確認します。通常のファイル削除を、そのまま「BitLockerの暗号鍵が破棄された」と解釈することはできません。MicrosoftのBitLocker概要

暗号化を解除できても、上書きや消去で失われた内容が戻るわけではありません。また、適切な暗号学的消去は、通常のファイル削除とは異なる処理です。NIST SP 800-88 Rev. 2

本体が戻らなくても、どのような手掛かりが残るのか

ここからは主にWindows・NTFSの例です。以下の記録が、すべてのPCに必ず作られ、調査時まで残るわけではありません。記録がない場合も、「その操作がなかった」とは直ちに言えません。

ファイル名や、以前存在した場所を確認したい

証拠・痕跡	分かる可能性があること	それだけでは言えないこと
`$MFT`の残存レコード	ファイル名、親フォルダとの関係、属性などから、存在や保存先を検討できる	内容の完全復元、削除した人物、正確な削除時刻
`$UsnJrnl`の変更記録	対象ファイルに関係する作成・変更・名前変更・削除などの理由情報	ファイル本文、個々の操作の完全な順序、操作した実在人物
ごみ箱の`$I`などの管理情報	元のパス、元のサイズ、ごみ箱へ移動した時刻に関係する情報	対応する本体が残ること、意図的な証拠隠滅、実際の操作人物

MFTでは削除されたレコードが再利用され得ます。USNジャーナルも保持範囲を超えた古い記録が失われるため、PCの全履歴ではありません。名前だけを照合すると、同名ファイル、移動、名前変更を取り違える可能性があり、ファイル参照番号や親フォルダの情報などを併せて確認します。MicrosoftのMFT解説、変更ジャーナルの説明

Windowsのごみ箱では、管理情報の$Iと本体側の$Rを分けて扱う形式があります。$Iの記録を取得できても、対応する$Rが完全に残っているとは限りません。また、管理情報にある時刻は、ごみ箱を空にした時刻とは区別します。Joachim MetzによるWindows Recycle.Bin形式の技術資料

MFTやUSNジャーナルに残るファイルの作成・変更・名前変更・削除などの記録については、MFT・USNジャーナルで何が分かる？Windowsのファイル作成・変更・削除履歴を解析で詳しく解説しています。

削除前に開かれていたか、参照先はどこだったかを確認したい

LNKやJump Lists、最近使ったファイルの情報は、アプリやWindowsによるファイル参照を検討する手掛かりです。

ただし、ショートカットは手動でも作れます。Jump Listsには最近使った項目だけでなく、固定した項目などもあります。LNKがあるだけで、利用者が内容を読んだ、コピーした、削除したとは断定できません。 作成された場所、アプリの挙動、参照先、他の操作記録を照合します。MicrosoftのShell Links解説、Jump Listsを含むタスクバー機能の説明

メール添付、ブラウザのダウンロード記録、アプリの履歴などに同じファイルが見つかる場合も、同名というだけで同じ内容とは評価しません。

バックアップやVSSから、以前の内容を確認したい

削除前に取得され、調査時点でも残っているバックアップやVSSのシャドウコピーがあれば、その保存時点のファイルやフォルダ状態を確認できる場合があります。VSSは、ボリュームのある時点の状態を保存する仕組みであり、すべてのPCの全ファイル履歴を自動的に保証するものではありません。MicrosoftのVSS解説

バックアップで見つかった版を「削除直前の内容」と扱わないことも重要です。また、前後の保存時点でファイルの有無が違っていても、削除のほか、移動や名前変更を検討する必要があります。

USBなどへコピーした後に削除したかを確認したい

USBの接続履歴だけでは、ファイルコピーは証明できません。接続時間帯、PC側のファイル操作、外部媒体を参照した記録、取得できた媒体上の実ファイルなどを照合します。調査対象と判断上の注意点は、USBの情報持ち出し調査で詳しく説明しています。

双方の実ファイルを取得できれば、ハッシュ値の一致は内容の同一性を確認する材料になります。ただし、一致してもコピーの方向・日時・操作人物まで証明するものではありません。MicrosoftのGet-FileHash解説

「いつ、誰が削除したか」は、記録の意味を確かめて判断する

削除時刻と呼ばれるものには、異なる意味がある

記録	時刻の意味・読み方	注意点
ごみ箱の管理情報	ごみ箱へ移動した処理に関係する時刻	ごみ箱を空にした時刻や、物理的な消去完了時刻ではない
USNレコード	変更ジャーナルのレコードに記録された時刻と理由情報	キーを押した瞬間や、全操作の厳密な順序をそのまま表すとは限らない
ファイルの作成・更新・アクセス時刻	各属性に記録された作成・変更・アクセス等の時刻	更新日時を、そのまま削除日時に置き換えない
アプリ・サーバーのログ	その製品が定義する操作・処理の時刻	端末時刻、サーバー時刻、処理完了時刻の違いを確認する
ログ収集システムの取込時刻	記録を受信・格納した時刻	元の操作時刻と一致するとは限らない
バックアップ・VSS	保存された状態の時点	それだけで、保存時点の間に起きた削除の正確な日時は決まらない

たとえばUSNレコードには変更理由と時刻がありますが、複数の変更理由が蓄積される仕組みもあります。時刻の表示が細かくても、その精度で人の操作時刻を断定できるわけではありません。タイムゾーン、端末時計のずれ、表示・変換方法もそろえて比較します。MicrosoftのUSN_RECORD_V2仕様、変更ジャーナルの記録方法、ファイル時刻の仕様

Windowsアカウントと、実際に操作した人は分ける

削除に関係する記録が見つかっても、そこから直ちに特定の社員が削除したとは言えません。Windowsアカウント、ログオン記録、端末の割当、操作時間帯、アプリログなどを照合し、共有PC、共用アカウント、遠隔操作、自動処理の可能性も確認します。

Windowsの削除監査イベントが使える場合でも、事前の監査設定や対象への監査指定、ログの保存状況が前提です。イベント4660は単独では対象ファイル名を示さないため、関連するイベントとの照合が必要です。調査時に監査を有効にしても、過去の未記録の操作をさかのぼって記録できるわけではありません。Microsoftのイベント4660解説

なお、USNレコードのSecurityIdも、削除した社員を直接示す項目として扱うことはできません。MicrosoftのUSN_RECORD_V2仕様

削除という操作の確認と、故意・不正目的の判断も別です。 退職者への対応や社内調査の進め方については、株式会社赤井事務所の関連サイトにある退職者による会社PCのデータ削除への対応を参照してください。

赤井事務所の公開事例：削除とUSB上の参照を時系列で照合

デジタルフォレンジックPROの公開事例では、退職予定者が使用していたPCについて、USBへの情報持ち出しを調べています。

確認したのは、USB接続履歴、業務資料の参照、圧縮ファイルの作成、USB上での同名・同容量ファイルの参照、PC内の圧縮ファイルの削除に関係する情報です。接続日時、ファイル名・容量、PC側とUSB側の操作を時系列で整理し、USBへコピーされた可能性が高いと評価しています。当社の公開調査事例

ここで区別したいのは、次の三点です。

確認した情報： PC側とUSB側の参照情報、圧縮ファイルの作成・削除などの操作経緯。
そこからの評価： 複数の業務ファイルがUSBへコピーされた可能性が高いという判断。
この公表資料では確認できないこと： 削除した圧縮ファイル本体の復元成否、個別アーティファクトの原記録、双方の実ファイルのハッシュ一致。

同じ名前・容量だけでは内容の一致まで証明できません。この事例は、削除ファイルの復元成功率を示すものではなく、周辺記録を組み合わせて操作の関連を検討した例です。

復元ソフトを使う前に、調査目的と保存する範囲を決める

内容を取り戻したい場合

誤削除した個人文書などで、操作人物や証拠性を調べる必要がなければ、標準のごみ箱・バックアップを確認し、復元ソフトを使うことが合理的な場合があります。

その場合も、対象媒体へのインストールや、復元先として同じ媒体を使うことで、回収したい領域を上書きするおそれがあります。利用を減らし、取得元と保存先を分けることが基本です。Microsoft Windows File Recoveryの注意事項

削除の経緯を証拠として調べたい場合

社内不正、退職者PC、懲戒・紛争などを想定する場合は、ソフトを試す前に保全を検討します。必要に応じて原本媒体からフォレンジックイメージを取得し、保全用と解析用を分け、取得対象・手順・日時・担当者・使用機器などを記録します。通常のファイルコピーだけでは、削除領域や必要なシステム記録を取得できない場合があります。NIST SP 800-86

Write Blockerは取得元への書き込みを防ぐための機器・仕組みですが、SSD内部のガベージコレクションまで止める保証はありません。対象がSSDか、暗号化されているか、稼働中かなどを踏まえて取得方法を決めます。NISTの取得手順、KingstonのSSD内部処理の説明

ハッシュ値は、取得したデータや複製の内容が同じかを検証する材料です。取得前の出来事の正しさや、削除人物、証拠の評価まで自動的に保証するものではありません。取得工程の記録と併せて扱います。Microsoftのハッシュ値の説明

具体的な保全方法は、デジタル証拠保全サービスで案内しています。

社内確認で足りる場合と、専門調査を検討する場合

状況	検討する対応
誤削除の経緯が分かっており、内容を戻せればよい	ごみ箱やバックアップを確認し、必要に応じてデータ復旧を検討する
社内IT担当者が管理する保存先・版履歴・監査ログで確認できる	記録の保存期間と調査目的を確認し、必要なログを確保する。証拠利用を予定する場合は、復元操作前の状態も残す
本体が戻らないが、存在・参照・削除の痕跡を知りたい	ファイルシステムやアプリの記録を扱うフォレンジック調査を検討する
削除日時、操作経緯、外部媒体との関係を調べたい	複数の記録を照合できる調査範囲を設定する
不正調査や紛争で、調査根拠の説明が必要	原本の保全と取得記録、解析結果の限界を含む報告を検討する

削除や遠隔操作が続いている疑いがある場合は、PCの放置も適切ではありません。社内IT担当者に進行中の操作の停止・ネットワーク隔離と保全を調整してもらい、行った対応を記録してください。

相談時には、分かる範囲で「消えたファイル名・保存先」「最後に存在を確認した時期」「削除に気づいた時期」「媒体・OS」「現在の電源状態」「その後に行った操作」「バックアップと暗号化回復手段の有無」を整理すると、調査範囲を決めやすくなります。

デジタルフォレンジックPROでは、ファイル本体を取り戻したいのか、削除・参照・持ち出しの経緯を確認したいのかを伺い、必要な保全・解析の範囲をご案内します。調査内容・相談窓口

運営：株式会社赤井事務所／デジタルフォレンジックPRO
技術資料確認日：2026年9月8日

まとめ

削除ファイルをどこまで調べられるかは、本体が残っているか、別の記録や過去版が残っているかを分けて判断します。ごみ箱を空にした、SSDを使っている、PCを初期化したという情報だけでは、復元可否も調査できる範囲も決まりません。

ファイル名や参照・削除の記録が残っていても、内容、実際の操作人物、不正な目的まで単独で証明するものではありません。何の記録から、どの時点の何を確認したのかが重要です。

内容を戻せればよく、経緯も分かっているなら、ごみ箱やバックアップなどの自社確認で足りる場合があります。削除日時・操作経緯・持ち出しを証拠として調べたい場合や、本体が戻らず周辺記録の照合が必要な場合は、フォレンジック調査を検討してください。その際は、復元ソフトの導入や初期化を先に行わず、電源・暗号化の状態を踏まえて保全方法を決めることが、次の調査につながります。