Outlookの削除メールをフォレンジック調査｜PST・OST・Exchangeに残る証拠

2026年9月13日 2026年9月23日

デジタル・フォレンジック調査ラボ

Outlookで削除されたメールは、削除後でもフォレンジック調査で確認できる場合があります。ただし、必ずメール本文や添付ファイルまで復元できるわけではありません。

重要なのは、「メールが存在した」「送受信された」「削除された」「本文を回収できた」「添付ファイルを確認できた」「特定の人物が操作した」を、それぞれ別の事実として扱うことです。

たとえばMicrosoft 365／Exchange Online環境では、削除済みアイテムから見えなくなったメールでもRecoverable Itemsや保持機能の対象になっている場合があります。Purview Auditから削除操作を確認できる場合もあります。一方、その記録が残っていても、メール本文そのものを回収できるとは限りません。

また、Outlookはメールサービスそのものではなく、複数種類のメールアカウントを利用できるクライアントです。Microsoft 365やExchangeだけでなく、Gmail、Yahoo、iCloudなどもOutlookへ追加できます。そのため、調査では最初に「どのOutlookを使っていたか」「どのメールサービスへ接続していたか」を特定する必要があります。

Outlook以外も含めて、メールの送受信、削除、添付ファイル、メールヘッダー、クラウド側の記録など、メールフォレンジック全体で確認できる範囲については、メールフォレンジックとは？送受信・削除・添付ファイルの証拠で整理しています。

Outlookの削除メールだけでなく、送受信記録、メールヘッダー、Message-ID、添付ファイルなどメールに残る証拠全体を確認したい場合は、メール・コミュニケーションで、主な調査項目と確認方法をまとめています。

Outlookで削除したメールはフォレンジック調査できる？

できます。ただし、調査できる内容は、利用環境と残っている証拠によって変わります。

フォレンジック調査では、単に「メールを元に戻せるか」だけを見るのではなく、次の事実を分けて確認します。

対象メールが過去に存在したか
送信・受信・配送された記録があるか
削除操作が行われたか
メール本文が残っているか
添付ファイルが残っているか
複数の証拠源に同じメールの記録があるか
どのアカウントや端末から操作されたか
実際の操作者をどこまで特定できるか

確認対象には、PST・OSTなどのOutlookデータ、Exchange OnlineやMicrosoft 365側の記録、メールヘッダー、Message-ID、PC側のログなどがあります。

ただし、すべての証拠が常に残るわけではありません。削除からの経過時間、メールサービス、保持設定、同期状態、Outlookの種類、対象PCの利用状況などによって結果は異なります。

標準のメール復元とフォレンジック調査は何が違う？

標準のメール復元とフォレンジック調査では、目的が異なります。

方法	主な目的	主に確認するもの
Outlookの標準復元	誤って消したメールを元に戻す	削除済みアイテム、回復可能なアイテム
管理者による復旧	サーバー側に残るメールを復旧する	Exchange Online等の保持データ
フォレンジック調査	削除されたメールに関する事実関係を調べる	PST、OST、メールボックス、監査ログ、Message Trace、Message-ID、PC等
証拠保全	後の調査に使える状態を維持する	PC、データファイル、クラウド記録、取得履歴、ハッシュ等

Outlookには、削除済みアイテムやRecoverable Itemsからメールを戻せる標準機能があります。単純な誤削除で、メールを元に戻せれば目的を達成できる場合は、まず標準機能を使うのが合理的です。

一方、社内不正や情報漏えいの調査では、「メールを戻せたか」だけでは足りない場合があります。削除された時刻、送受信の有無、メール本文、添付ファイル、別システムに残る記録、操作したアカウントなどを照合しなければならないためです。

通常のOutlook復旧手順だけを知りたい場合は、当サイトの「Outlookのメールが消えた？簡単復旧ステップ！」で確認できます。本記事では、その標準操作で確認できない場合から先を中心に扱います。

Outlookの削除にはどのような段階がある？

「削除した」という言葉だけでは、メールが現在どの状態にあるかは判断できません。

Microsoft 365／Exchange Onlineでは、通常の削除、削除済みアイテムからの削除、Recoverable Items、保持機能など、複数の段階があります。たとえばExchange Onlineでは、削除済みアイテムから削除したメールやShift＋DeleteしたアイテムがRecoverable ItemsのDeletionsへ移動する場合があります。既定の削除済みアイテム保持期間は14日で、設定により最大30日まで変更できます。Holdなどが設定されている場合は別の保持動作になります。

したがって、ユーザーの画面上から見えなくなったことと、メールに関するデータがすべて消えたことは同じではありません。

反対に、Recoverable Itemsや保持機能があるからといって、過去の削除メールが必ず残っているわけでもありません。保持期間、ポリシー、削除方法、Holdの有無などを実際の環境で確認する必要があります。

なお、この仕組みはExchange Online側の例です。OutlookをGmailや他社IMAPサーバーと組み合わせている場合は、そのサービス側の削除・保持仕様を別に確認します。

削除メールを調べる主な証拠

Outlookの削除メール調査では、一つの証拠だけで結論を出さず、複数の記録を組み合わせます。

PST

PSTはOutlook Data Fileの一種です。

Classic OutlookではPOPアカウントの保存先として利用されるほか、メールのアーカイブやエクスポート先としてPSTが作られる場合があります。PSTにはフォルダー、メッセージ、添付ファイル等を構成する情報が保存されます。Microsoftが公開するPST仕様でも、PSTはFolder、Message、Attachment等のオブジェクトを保持するメッセージストアとして定義されています。

ただし、PSTが存在することは「そのアカウントで過去に存在した全メールが保存されている」ことを意味しません。

OST

OSTは主として、サーバー上のメールデータをローカルで利用するための同期コピーとして使われます。

MicrosoftはExchange、Microsoft 365、Outlook.comや一部のIMAPアカウントでOSTが利用されることを説明しています。OSTはサーバー上のライブ情報の同期コピーであり、完全なサーバーバックアップではありません。

同期範囲やアカウント状態によって、OSTに存在する情報とサーバー側の情報が一致しない場合があります。

Message-ID

Message-IDは、メールを複数の証拠源で照合するときに重要な識別情報です。

RFC 5322ではMessage-IDフィールドはメッセージを識別するための識別子として定義されています。Outlook／MAPIにもPR_INTERNET_MESSAGE_IDに対応するプロパティがあります。また、Exchange OnlineのMessage TraceでもMessage-IDを検索条件として利用できます。

ただし、Message-IDが一致しただけで、比較対象の本文や添付ファイルが完全に同一だと判断するのは適切ではありません。

メールヘッダー・MAPI

Outlookのメッセージストアでは、本文やヘッダー等をMAPIプロパティとして確認できる場合があります。

たとえばMicrosoftのMAPI仕様には、本文を保持するPR_BODY、HTML本文に関係するPR_HTML、Transport Headerを格納するPR_TRANSPORT_MESSAGE_HEADERSなどが定義されています。添付についてもファイル名やサイズなどを表すプロパティがあります。

フォレンジック解析では、これらの情報を件名、差出人、宛先、時刻、Message-IDなどと組み合わせて確認します。

Exchange・Microsoft 365側の記録

Microsoft 365／Exchange Onlineを利用している場合は、PC側だけでなくサービス側も重要な証拠源です。

確認候補には、次のようなものがあります。

メールボックス
Recoverable Items
Microsoft Purview Audit
Message Trace
Retention
eDiscoveryやHold
Entra ID等の認証記録

Purview AuditではMoveToDeletedItems、SoftDelete、HardDelete等の削除に関係する操作を検索できる場合があります。Message Traceでは、メールがサービスで受信・配送・拒否・遅延された経緯や、送信者、受信者、件名、Message-ID等を確認できます。

ただし、監査ログやMessage Traceはメール本文そのものとは別の証拠です。

Purview Audit、Message Trace、Exchange、Entra IDなどMicrosoft 365側の証拠を横断して確認する方法は、Microsoft 365の監査ログで何が分かる？Purview・Exchange等を調査で詳しく解説しています。

PSTから削除メールはどこまで分かる？

PSTが残っている場合、フォルダー構造、メッセージオブジェクト、本文、添付、各種MAPIプロパティなどが調査対象になります。

MicrosoftのPST仕様では、メッセージや添付等がプロパティとしてPST内に格納される構造が公開されています。一方、削除されたノードはPSTのNode BTreeから削除される仕様も定められています。そのため、「一度PSTに存在したメールなら必ず復元できる」とはいえません。

調査では、まず対象PSTがいつ、どの環境で作られたものかを確認します。

たとえば、

POPアカウントのデータファイル
アーカイブPST
エクスポートしたPST
別PCからコピーしたPST

では、保存されている範囲が異なります。

対象メールがPSTから確認できた場合でも、それだけでサーバー上の全履歴を説明できるとは限りません。PSTを「Outlookの全メールを保存する万能ファイル」と扱わないことが重要です。

OSTから削除メールはどこまで分かる？

OSTは、Classic Outlook等でサーバー側メールボックスのローカル同期データとして使われます。

対象PCにOSTが残っていれば、同期済みのメッセージ、フォルダー、本文、添付、ヘッダーに関係するMAPI情報などが調査対象になる場合があります。しかし、OSTはサーバーの完全なバックアップではありません。Microsoft自身も、OSTをサーバー上の情報の同期コピーと説明しています。

したがって、

OSTにメールがない＝そのメールが存在しなかった

とは判断できません。

同期範囲、キャッシュ設定、削除後の同期、アカウント状態などの影響を考える必要があります。

また、Classic OutlookとNew Outlookを同じローカルデータ構造として扱わないことも重要です。2026年9月時点でMicrosoftはNew OutlookのPST対応を「部分的」としています。New Outlookについては別のプロファイル／キャッシュ領域も公開されているため、すべてのOutlook端末へClassic OutlookのPST／OST前提をそのまま当てはめるべきではありません。

調査前にOutlookの種類、バージョン、アカウント方式を確認します。

Outlookを使っていてもExchangeとは限らない

OutlookはExchange専用のメールクライアントではありません。

Microsoft公式でも、OutlookにはMicrosoft 365やExchangeのほか、Gmail、Yahoo、iCloud等のアカウントを追加できると説明されています。

そのため、「Outlookを使っていた」という情報だけから、Exchange OnlineのRecoverable Items、Purview Audit、Message Traceが利用できると判断してはいけません。

たとえばOutlookでGoogle WorkspaceのGmailを利用していた場合は、Outlook側のローカルデータに加えて、権限や契約、保持状況に応じてGoogle Workspace側のGmail記録、監査ログ、Vault、エクスポートデータ等が確認候補になります。

当サイトのGoogle Workspaceフォレンジック記事でも、クラウド側の記録とPC・メール等の証拠を分けて照合する考え方を解説しています。

まず確認するべきなのは「Outlookかどうか」だけではなく、そのメールアドレスの実体がどのサービスにあるかです。

削除されたメールの本文は復元できる？

本文を確認できる場合はありますが、削除メールの存在や削除操作が分かることと、本文を回収できることは別です。

メールに関しては、少なくとも次を分けて評価します。

メールを識別できた
送受信や配送を確認できた
削除操作を確認できた
件名・送信者・宛先等を確認できた
本文を一部または全部確認できた
添付ファイルを確認できた
別の証拠源と内容まで照合できた

Outlook／MAPIでは、プレーンテキスト本文に関係するPR_BODYやHTML本文に関係するPR_HTMLなどのプロパティが定義されています。メールヘッダーに関係するプロパティも別に存在します。つまり、本文、ヘッダー、添付は分けて確認する必要があります。

また、PST／OST等のMAPIメッセージから取り出した情報をEML形式等に再構成した場合、それを必ず「送受信時の元のraw MIMEそのもの」と扱えるわけではありません。MAPIにはInternet形式からメッセージオブジェクトへ変換された情報が保存されるため、何を原資料として取得したかを区別します。

したがって、調査結果では、

「今回確認した証拠からメール本文を回収できた」

のか、

「今回確認した証拠から本文を回収できなかった」

のかを明確にします。

Permanent Delete後でもメールが残る場合はある？

あります。ただし、必ず残るわけではありません。

Exchange Onlineの場合、削除済みアイテムから削除したメールやShift＋Deleteしたメールでも、Recoverable Itemsの保持期間内であればユーザーまたは管理者が回復できる場合があります。また、HoldやRetention等が設定されている環境では、さらに保持される場合があります。

Purviewの監査用語では、MoveToDeletedItems、SoftDelete、HardDeleteといった操作が区別されています。HardDeleteについても、監査ログ上の操作名と、一般利用者が画面上でいう「完全削除」という言葉を無条件に同一視しないほうが安全です。

一方で、保持期間を過ぎ、Hold等もなく、他の証拠源にも対象データが残っていない場合は、本文を回収できないことがあります。

重要なのは、

Permanent Deleteされたから必ず消えている

とも、

フォレンジックなら必ず戻せる

とも決めつけないことです。

Message-IDで複数の証拠を照合する

Message-IDは、同じメールに関係する記録を複数の証拠源から探す際の有力な照合キーです。

RFC 5322ではMessage-IDは特定のメッセージを識別するためのフィールドとして規定されています。MicrosoftのMAPIにもInternet Message IDに対応するプロパティがあり、Exchange OnlineのMessage TraceでもMessage-IDで特定のメールを追跡できます。

たとえば、

PST
OST
メールヘッダー
Exchange Message Trace
Microsoft 365の監査記録
EMLやraw MIME
Google Workspace側から取得したメール
メールアーカイブ

などに同じMessage-IDが確認できれば、同一メールに関する記録である可能性を検討しやすくなります。

ただし、Message-IDだけで全内容の同一性を証明できるとは限りません。

必要に応じて、

From
To／Cc
件名
送受信時刻
本文
添付ファイル
MIME構造
Transport Header

なども比較します。

添付ファイル同士の内容を比較する場合は、SHA-256等のハッシュ値を使える場合もあります。ハッシュ一致は比較したバイト列の同一性を強く確認する材料になりますが、それだけで「誰が送ったか」「なぜ送ったか」まで決まるわけではありません。

メールが削除されたことと本文が回収できることは別

削除操作のログとメール本文は、証拠として別のものです。

Microsoft Purview Auditでは、MoveToDeletedItems、SoftDelete、HardDelete等の操作を調査できる場合があります。削除対象のメールやアカウント、操作時刻を絞り込む材料になります。

しかし、削除イベントが記録されているからといって、その監査ログにメール本文が保存されているとは限りません。

同様にMessage Traceは、メールがMicrosoft 365のメールフローをどのように通過したかを確認するための機能です。送信者、受信者、件名、配送状態、Message-ID等を確認できますが、Message Traceそのものをメール本文の保存先として扱うものではありません。

そのため調査では、

削除記録がある
→ 削除に関する証拠

Message Traceがある
→ 配送に関する証拠

PST／OST等から本文が取れた
→ 本文に関する証拠

というように、証拠が支える範囲を分けます。

本文を回収できなかったメールはどう評価する？

本文を確認できなかったときに、

「本文は存在しなかった」

と結論づけるのは適切ではありません。

調査で確認できるのは、確認した証拠の範囲です。

したがって、

「今回確認した証拠から本文を回収できなかった」

と評価します。

たとえば、送受信や削除を示す記録が残っている一方で、PST、OST、メールボックス、アーカイブ等から本文を取得できない場合があります。この状態は「本文が空だった」とも「本文を持つメール自体が存在しなかった」とも同義ではありません。

同様に、

添付ファイルを回収できなかった
添付件数が0件だった
ログのURL欄が空だった

といった個別の観測から、メール本文の内容まで推測しないことが重要です。

社内の解析結果をBODY_NOT_RECOVEREDのような状態名で管理する場合も、「本文不存在」ではなく「確認した証拠から本文を回収できなかった」という意味を明確にしておくと、調査結果の過大解釈を防げます。

Outlook削除メールの調査で分かること・分からないこと

証拠ごとに、説明できる範囲は異なります。

証拠	比較的言いやすいこと	それだけでは言えないこと
削除済みアイテム	現在そのフォルダーにメールが残っている	過去の削除メールがすべて残っている
Recoverable Items	Exchange側で回復・保持対象のアイテムが残っている場合がある	すべての削除メールが永久に残る
PST	PST内に保存されたメッセージ、本文、添付等	サーバー上の全履歴
OST	ローカルへ同期されたメール等	完全なサーバーバックアップ
Message-ID	同一メールを照合する有力な手掛かり	本文・添付の完全同一性
Purview Audit	削除や移動等の操作記録	メール本文そのもの
Message Trace	Microsoft 365内の配送経路や状態	メール本文の完全な内容
MAPI本文	対象メッセージストア内で確認できた本文	元のraw MIMEと完全に同一であること
添付ファイル	回収できた添付の内容	回収できなかった添付が存在しなかったこと
BODY_NOT_RECOVERED	今回確認した証拠から本文を回収できなかった	本文が存在しなかった
ハッシュ一致	比較したデータのバイト列が同一であること	誰が、なぜ、いつ送信・保存したか
アカウントの監査記録	そのアカウントで記録された操作	実際にキーボード等を操作した人物

フォレンジックでは、「何かの痕跡が見つかった」こと以上に、その証拠からどこまで言えるかを限定することが重要です。

誰がメールを削除したかまで分かる？

削除したアカウントやセッションを絞り込める場合はありますが、実際に操作した人物本人まで常に確定できるわけではありません。

Purviewの監査記録には、条件によってUserId、操作時刻、ClientIP、ClientInfoString等が含まれる場合があります。これらは重要な手掛かりになります。

ただし、

「社員Aのアカウントで削除された」＝「社員A本人が操作した」

とは限りません。

たとえば、

他人がパスワードを使用した
共有端末だった
委任アクセスがあった
既存セッションが利用された
遠隔操作された
自動処理やルールが関係した

といった可能性を検討する必要があります。

必要に応じて、Windowsログオン、Entra IDサインイン、IPアドレス、MFA、端末情報、RDPや遠隔操作ツールの記録などを照合します。

メール削除の事実と操作者の特定は、別の調査課題です。

調査前に保存するもの・避けたい操作

社内不正、懲戒、訴訟、情報漏えいなどの証拠として削除メールを調査する場合は、復元を試す前に証拠保全を検討してください。

対象PC上でOutlookを起動すると、同期やキャッシュ、ログ等の状態が変化する可能性があります。アカウントの再設定、プロファイル削除、PST／OSTの修復、復元ソフトのインストールなども、調査対象へ変更を加える可能性があります。

当サイトの証拠保全記事でも、原本への不要な変更を避け、取得した範囲や方法、ハッシュ、取扱履歴等を記録して後から検証できる状態にする考え方を解説しています。

重要な調査では、少なくとも次を整理します。

対象PC
Outlookの種類
利用していたメールサービス
PST／OST等の有無
メールアカウント
問題が起きた期間
削除に気付いた時期
既に行った操作
Microsoft 365／Google Workspace等の保持期限
バックアップやメールアーカイブの有無

ただし、不正アクセスや情報漏えいが現在も進行している場合は、証拠保全だけを理由に被害を放置するべきではありません。必要なアカウント停止や端末隔離等を行う場合は、実施内容と時刻を記録し、保全との両立を検討します。

PCの電源を切る・入れる判断も一律ではありません。暗号化や稼働中の状態によって重要な情報が失われる可能性があるため、重要案件では状態を記録したうえで判断してください。

自社確認で足りる場合とフォレンジック調査を検討する目安

単純な誤削除で、対象メールを元に戻すだけが目的なら、まずOutlookやメールサービスの標準復元機能を確認します。

一方、次のようなケースでは、復旧だけでなくフォレンジック調査を検討する意味があります。

削除済みアイテムや標準復元では対象メールが見つからない
メールが過去に存在したことを確認したい
本文や添付ファイルまで調べたい
誰が、いつ削除したかを調べたい
社員による証拠隠滅が疑われる
外部への情報送信との関係を確認したい
PST／OSTとMicrosoft 365等の記録を照合したい
懲戒、訴訟、内部調査等で結果を説明できる形にしたい
対象PCを不用意に変更せず保全したい

デジタルフォレンジックPROでは、PC側のメールデータだけでなく、WEBメール、送受信履歴、添付ファイル、アカウント関連情報などを調査対象として公表しています。証拠として扱う必要がある場合は、メールの「復元」だけでなく、何を立証したいのかを先に整理することが重要です。

まとめ

Outlookで削除されたメールは、標準の復元操作で見つからなくても、フォレンジック調査によって関連する証拠を確認できる場合があります。

ただし、削除されたメールが必ず本文まで復元できるわけではありません。

Outlookはメールクライアントであり、Exchange Onlineと同義ではありません。
PSTはPOP、アーカイブ、エクスポート等で使われますが、全メールの万能な保存先ではありません。
OSTはサーバーデータの同期コピーであり、完全なサーバーバックアップではありません。
New OutlookとClassic Outlookではローカルデータの扱いを同一視できません。
メールが存在したこと、送信されたこと、削除されたこと、本文が回収できたことは別の事実です。
削除操作を示す監査ログがあっても、本文が回収できるとは限りません。
本文を回収できなかったことと、本文が存在しなかったことは別です。
Message-IDは複数の証拠源を照合する有力な手掛かりですが、それだけで全内容を確定するものではありません。
アカウント上の操作記録と、実際に操作した人物の特定は別問題です。
社内不正や紛争に関係する場合は、復元を繰り返す前にPCやクラウド記録の保全を検討します。

「削除メールを元に戻す」ことと、「削除されたメールについて事実関係を証拠から説明する」ことでは、必要な調査が異なります。

参考資料

※資料・仕様確認日：2026年9月13日。Microsoft 365、Outlook、保持機能、監査機能等の仕様は変更される場合があります。実際の調査時には対象環境に対応する最新の公式資料を確認してください。

Microsoft Support「Outlook で削除済みアイテムを回復および復元する」
Microsoft Support「メールアカウントを Outlook for Windows に追加する」
Microsoft Support「情報を保存する Outlook データファイル (.pst) を作成する」
Microsoft Support「新しい Outlook と従来の Outlook の機能の比較」
Microsoft Learn「Recoverable Items folder / deleted item retention in Exchange Online」
Microsoft Learn「Search the audit log for deleted mailbox items」
Microsoft Learn「Manage mailbox auditing」
Microsoft Learn「Message trace in Exchange Online」
Microsoft Learn「Outlook Personal Folders (.pst) File Format」
Microsoft Learn「PidTagInternetMessageId / PidTagTransportMessageHeaders / PidTagBody / PidTagHtml」
IETF「RFC 5322: Internet Message Format」
デジタルフォレンジックPRO「デジタルフォレンジックの証拠保全とは？原本・ディスクイメージ・ハッシュ値の意味」