PCフォレンジックで何が分かる？Windows PCに残る証拠と、確認できること・できないこと

2026年9月9日 2026年9月23日

デジタル・フォレンジック調査ラボ

PCフォレンジックでは、Windows PCに残された複数の記録を保全・照合することで、ファイルの存在や利用、作成・変更・削除、USB等の外部媒体の利用、Web閲覧、メール・クラウド利用、プログラム実行、ログオンなどの手掛かりを確認できる場合があります。

ただし、フォレンジックは「PCを解析すれば過去の操作がすべて再生される技術」ではありません。

USBが接続されていたから特定ファイルをコピーした、クラウドへアクセスしていたからファイルをアップロードした、あるWindowsアカウントが使われていたから本人が操作した、とは一つの記録だけでは断定できない場合があります。

重要なのは、

何が記録として確認できたか

と、

その記録から何まで言えるのか

を分けることです。

本記事では、会社PCや退職者PC、問題が疑われる従業員のPCについて、「PCフォレンジックで実際に何が分かるのか」を企業担当者向けに整理します。

※Windows・Chrome等の技術仕様確認日：2026年9月8日。

Windows PCの各証拠について、MFT・USN、LNK・Jump Lists、USB、削除ファイル、ブラウザ、アプリ実行などテーマ別に詳しく確認したい場合は、Windows・PCフォレンジックに関連記事をまとめています。

PCフォレンジックで何が分かる？まず結論

主な疑問を先に整理すると、次のようになります。

知りたいこと	確認できる可能性	それだけでは断定できないこと
ファイルを開いたか	LNK、Jump Lists、Recent Files、アプリ側履歴等が手掛かりになる	内容を読んだか、コピーしたか
ファイルをコピーしたか	コピー先、ファイルシステム、周辺の操作記録等から検証できる場合がある	すべてのコピー操作が単一の履歴に残るわけではない
USBを接続したか	USB関連情報、デバイス関連ログ等から確認できる場合がある	特定ファイルをUSBへコピーしたか
ファイルを削除したか	Recycle Bin、`$MFT`、`$UsnJrnl`等が手掛かりになる	削除した理由や実際の操作者
削除ファイルを復元できるか	残存状態によって可能な場合がある	必ず復元できるわけではない
Webサイトを見たか	ブラウザ履歴等から確認できる場合がある	ページで具体的に何を入力・送信したか
ファイルをアップロードしたか	PC側とサービス側の記録を組み合わせて確認できる場合がある	Webアクセス履歴だけでは送信内容まで分からない
メールを送信したか	メールデータやサービス側記録から確認できる場合がある	PCのブラウザ履歴だけで送信本文を断定すること
誰が操作したか	PC割当、Windowsログオン、アカウント等から絞り込める場合がある	アカウント＝実際の人物とは限らない
いつ操作したか	複数の日時情報から時系列を整理できる	一つのタイムスタンプをそのまま操作時刻と断定すること

PCフォレンジックでは、「ある痕跡が見つかったか」ではなく、複数の痕跡が同じ事実をどの程度裏付けているかを見ることが重要です。

Windows PCで確認したい項目から詳しく見る

Windows PCに残る記録は、調べたい操作によって確認する場所や証拠が異なります。

「ファイルを開いたのか」「USBを使ったのか」「削除したファイルの痕跡が残っているか」など、確認したい内容が決まっている場合は、次の個別記事で詳しく解説しています。

確認したいこと	詳細記事
ファイルを開いた・利用した履歴を確認したい	Windowsでファイルを開いた履歴は分かる？LNK・Jump Listsの調査方法
ファイルをコピーした痕跡を確認したい	Windowsでファイルコピー履歴は分かる？USBへのコピー痕跡と調査方法
USBメモリの接続・利用履歴を確認したい	USBメモリの接続履歴を調査｜ファイルコピー・情報持ち出しの痕跡
ファイルの作成・変更・削除の履歴を確認したい	MFT・USNジャーナルで何が分かる？Windowsのファイル作成・変更・削除履歴を解析
削除されたファイルや残った痕跡を確認したい	削除ファイルは復元できる？フォレンジックで分かる痕跡と限界
Chrome・Edgeの閲覧やダウンロード履歴を確認したい	ブラウザ履歴はフォレンジックでどこまで分かる？Chrome・Edgeを調査
アプリやプログラムの実行履歴を確認したい	Windowsのアプリ実行履歴はどこまで分かる？PCフォレンジックで確認できる証拠
Windowsへのログオン・ログオフ履歴を確認したい	Windowsのログイン履歴を確認｜イベントログで分かること・限界
ソフトのインストール・削除履歴を確認したい	Windowsのソフトインストール履歴を確認｜削除済みアプリの痕跡も調査
文書の印刷履歴を確認したい	Windowsの印刷履歴を確認｜誰が何を印刷したか残るログと証拠
PowerShellの実行履歴を調査	PSReadLine・イベントログに残る痕跡
ZIP・7zファイルの作成・圧縮履歴を確認したい	ZIP・7zファイルの作成履歴は残る？圧縮・削除痕跡を調査

個別の記録だけでは、実際の操作内容や操作者まで断定できない場合があります。調査では、目的に応じて複数の記録を組み合わせ、時系列や相互の整合性を確認することが重要です。

PCフォレンジックとは

デジタル・フォレンジックは、インシデントや法的紛争等に際して、電磁的記録を保全・調査・分析する科学的な調査手法です。警察庁も、電磁的記録は客観証拠となる場合がある一方で消去・改変が容易なため、適正な手続による解析・証拠化が重要だと説明しています。

その中で本記事では、**Windows PCやその記憶媒体を主な調査対象とするものを「PCフォレンジック」**と呼びます。

調査では、画面上に見えているファイルだけでなく、Windowsやアプリケーションが残した各種記録を確認します。

ただし、専門用語を多数覚えること自体が目的ではありません。

例えば$MFTを見る理由は、「MFTというアーティファクトを解析するため」ではなく、特定のファイルが存在したか、どのような名称・属性・日時情報を持っていたかを確認するためです。

Microsoftも、NTFSではファイルごとにMFTエントリが存在し、ファイルに関するサイズや日時等の情報がMFTに保持・記述されると説明しています。

ファイルを開いたことは分かる？

分かる場合があります。ただし、「開いた」という結論の強さは、残っている記録によって異なります。

Windowsでは、LNK、Jump Lists、Recent Files、Office等のアプリケーション履歴などが、特定のファイルや保存場所が利用されたことを考える手掛かりになります。

LNKはWindowsの「シェルリンク」で、対象となるファイル、フォルダ、ドライブ等へアクセスするための情報を保持する仕組みです。Microsoftも、LNKファイルに対象オブジェクトの場所等の情報が保存されることを説明しています。

Jump Listsにも、アプリによって最近使用した項目やピン留めされた文書等が表示されます。

ただし、

LNKが存在する＝本人がファイル本文を読んだ

とは限りません。

LNKやJump Listsはアプリケーション側の処理によって生成される場合もあり、その記録の意味を確認したうえで評価する必要があります。

例えば、

LNK
Jump Lists
Officeの最近使用したファイル
ファイルシステムの情報
アプリケーション実行履歴

が同じファイル・同じ時間帯を示していれば、単独の痕跡より強い手掛かりになります。

LNKファイルやJump Listsなど、Windowsに残る「ファイルを開いた・利用した」痕跡については、Windowsでファイルを開いた履歴は分かる？LNK・Jump Listsの調査方法で詳しく解説しています。

ファイルをコピーしたことは分かる？

ここはPCフォレンジックで特に誤解されやすいところです。

Windowsに、あらゆるコピー操作を一律に「このファイルをAからBへコピーした」と保存する万能な履歴があるわけではありません。

コピーを調べる場合は、

コピー元と考えられるファイル
コピー先に存在するファイル
$MFT
$UsnJrnl
LNK・Jump Lists
外部媒体
クラウドやDLP等のログ

などを組み合わせます。

NTFSのUSN変更ジャーナルは、ファイルやディレクトリが追加・削除・変更された際に、変更内容と対象について記録する仕組みです。古いレコードは領域確保のため削除される場合もあります。

つまり、$UsnJrnlは非常に重要な時系列資料ですが、

「コピー操作の全履歴」や「コピーされたデータの内容そのもの」を記録する仕組みではありません。

コピーを評価するときは、コピー先の存在、ファイル名・内容、時刻関係、周辺の操作等を照合します。

ファイルコピーの痕跡は、MFT・USNジャーナル、LNKファイル、Jump Lists、USB接続記録など複数の情報を組み合わせて確認します。詳しくは、Windowsでファイルコピー履歴は分かる？USBへのコピー痕跡と調査方法で解説しています。

USBメモリを接続したことは分かる？

確認できる場合があります。

Windowsには、USB等のデバイスについて、レジストリ、デバイス関連情報、SetupAPI、イベントログ等に手掛かりが残ることがあります。

ただし、SetupAPI.dev.logについては注意が必要です。

Microsoftの公式説明では、SetupAPI.dev.logはデバイスとドライバーのインストールに関する情報を記録するログです。したがって、このログだけを「USBの全接続・全取り外し履歴」として扱うことはできません。

USB調査では、

USBが認識されたこと

と、

そのUSBへファイルがコピーされたこと

を分けます。

USB接続履歴が見つかっても、それだけで情報持ち出しを意味しません。

USBについては、デジタルフォレンジックPROの既存記事でも、USB利用、ファイル操作、$MFT・$UsnJrnl、LNK・Jump Lists等を分けて詳しく解説しています。

USBメモリの接続履歴を調査｜ファイルコピー・情報持ち出しの痕跡

USBへ特定ファイルをコピーしたか分かる？

USB接続だけでは分かりません。

例えば、

10時05分にUSBが認識された
10時03分に顧客リストを参照した痕跡がある

という2つの記録があっても、

顧客リストをUSBへコピーした

とはまだ断定できません。

USB本体も確保できており、同じファイルや内容が存在する、PC側とUSB側の時系列が整合する、別の操作痕跡も一致するといった証拠が加われば、評価できる範囲は広がります。

それでも、

同じファイルがPCとUSBに存在すること

と、

対象PCから対象USBへ、その人物が、その時刻にコピーしたこと

は別の命題です。

証拠が裏付ける範囲を超えて結論を広げないことが重要です。

ファイルを削除したことは分かる？

削除されたファイルについては、

Recycle Bin
$MFT
$UsnJrnl
LNK
Jump Lists
アプリケーション側の履歴
VSS等の過去状態

などが確認対象になる場合があります。

MicrosoftのMFT資料では、NTFSからファイルが削除されると、そのMFTエントリは未使用としてマークされ、再利用可能になると説明されています。USN変更ジャーナルでも、ファイルやディレクトリの削除等の変更が記録対象となります。

このため、ファイル本体が見えなくなった後でも、そのファイルが存在していた手掛かりや削除に関する変更記録を確認できる場合があります。

ただし、

削除した＝証拠隠滅

とは限りません。

通常業務でもファイル削除は行われます。削除した人物や目的については別の証拠が必要です。

ファイルの作成・変更・削除の履歴を確認する方法については、MFT・USNジャーナルで何が分かる？Windowsのファイル作成・変更・削除履歴を解析で詳しく解説しています。

また、削除されたファイルをどこまで復元できるのか、復元できない場合にどのような痕跡を確認できるのかについては、削除ファイルは復元できる？フォレンジックで分かる痕跡と限界をご覧ください。

削除ファイルは復元できる？

復元できる場合がありますが、保証はできません。

削除後にどれだけPCが利用されたか、記憶媒体、OS、暗号化、保存状態等によって結果は変わります。

VSSによるシャドウコピーが存在している環境では、過去時点の状態が追加の確認対象になる場合があります。MicrosoftはVSSを、Windows 10・11を含む環境でシャドウコピーを作成・管理する仕組みとして説明しています。

ただし、VSSが有効だった、対象時点のシャドウコピーが残っていた、という条件が必要です。

VSSを調べれば必ず昔のファイルが出てくるわけではありません。

PCを初期化されたら、もう調査できない？

「初期化されたから何も調べられない」とも、「初期化されても必ず復元できる」とも言えません。

初期化やOS再インストールによって、ファイル、ログ、ファイルシステム上の痕跡等が失われたり上書きされたりする可能性があります。

一方、

ストレージ上に残っている情報
バックアップ
メール
クラウド
ファイルサーバー
EDR・DLP等
会社側で保存していたログ

など、PC以外の証拠源が残っている場合もあります。

したがって、初期化済みPCでも、まず何が残っているかを確認してから調査可能範囲を判断します。

Webサイトを閲覧したことは分かる？

ブラウザの履歴、ダウンロード履歴、キャッシュ、Cookie等から、アクセスしたサイトや利用状況を確認できる場合があります。

ただし、

あるWebサービスを開いたこと

と、

そのサービスで文章やファイルを送信したこと

は別です。

例えばクラウドストレージのURLがブラウザ履歴にあったとしても、その履歴だけでは「どのファイルをアップロードしたか」までは分からない場合があります。

送信・アップロードの確認には、サービス側のログ、DLP、EDR、Proxy等の企業側記録、PC上のファイル操作などを追加で確認します。

ChromeやEdgeに残る閲覧履歴、検索、ダウンロード、Cookieなど、Webブラウザから確認できる痕跡については、ブラウザ履歴はフォレンジックでどこまで分かる？Chrome・Edgeを調査で詳しく解説しています。

シークレットモードは調べられる？

Chromeのシークレットモードでは、セッション終了後、Chromeはアクセスしたサイトの記録やサイトデータを保持しません。一方、ダウンロードしたファイルや保存したブックマークは残ります。

Googleも、シークレットモードは「記録が一切残らない」機能ではなく、アクセス先のWebサイトや勤務先等のネットワーク管理者には活動が把握される可能性があると説明しています。

したがって、

「Chromeの通常履歴がない」＝「Webを利用していない」

とは判断できません。

PC側の別の痕跡、ネットワーク側、サービス側、企業管理側の記録を確認します。

ファイルをアップロードしたことは分かる？

アップロードも、アクセス履歴だけで判断しないことが重要です。

例えば、

対象ファイルをPC上で扱った記録
直後にクラウドサービスへアクセスした記録

だけでは、

その対象ファイルをアップロードした

とはまだ断定できません。

サービス側にアップロードイベントが残る、DLP等にファイル名や操作結果が記録される、クラウド上で同じファイルが確認されるなど、追加の証拠が必要になる場合があります。

逆に、PC側にアップロードを示す痕跡が見つからなくても、利用方法や記録状態によっては痕跡が生成・保存されなかった可能性があります。

確認できないことと、操作が存在しなかったことは同じではありません。

メールを送ったことは分かる？

Outlook等のメールクライアントを使用していた場合は、ローカルのメールデータ、添付ファイル、関連履歴が確認対象になる場合があります。

Webメールの場合は、ブラウザ履歴等が利用の手掛かりになりますが、PC側だけではメール本文・添付・送信結果を完全に確認できないことがあります。

会社が管理するMicrosoft 365やGoogle Workspace等であれば、権限や保存状況に応じてサービス側のメール・監査記録も調査対象にします。

「Gmailへアクセスしていた」ことと「会社ファイルをGmailで送った」ことは分けて確認します。

クラウドを利用したことは分かる？

PCには、ブラウザやクラウド同期アプリ、ローカル同期フォルダ等に関連する痕跡が残る場合があります。

しかし、

クラウドへアクセスしたこと

ファイルを閲覧したこと

ダウンロードしたこと

アップロードしたこと

外部共有したこと

はそれぞれ別の操作です。

Google WorkspaceやMicrosoft 365等について詳細な事実関係を確認する場合は、PC側だけで完結させず、サービス側の監査ログ等を照合します。

誰がPCを操作したか分かる？

「誰がやったか」は、企業が最も知りたい項目の一つですが、慎重な評価が必要です。

次の4つは同じとは限りません。

確認対象	意味
PCの割当利用者	会社がそのPCを誰へ貸与していたか
Windowsアカウント	どのアカウントでログオン等が行われたか
ブラウザ・サービスアカウント	どのプロファイルやクラウドアカウントが利用されたか
実際の操作者	キーボードやマウス等を実際に操作した人物

例えば会社PCがAさんへ割り当てられていたとしても、

共用PCだった
Windowsアカウントを共有していた
PCを別社員へ貸していた
遠隔操作されていた
ブラウザだけ別アカウントへ切り替えていた

といった可能性があります。

Windowsイベントログ等からログオンに関する情報を取得できる場合はありますが、ログが示すのはまずアカウントやシステム上のイベントです。MicrosoftのWindows Event Logも、Windows上の各イベントをプロバイダーから記録・取得するための仕組みです。

本人確定には、PCの割当記録、勤怠、入退室、アカウント管理、サービス側ログ等を追加で確認することがあります。

Windowsへのログオン・ログオフ、ロック・ロック解除などの記録から確認できることや、ログインしたアカウントと実際の操作者を区別して考える際の注意点については、Windowsのログイン履歴を確認｜イベントログで分かること・限界で詳しく解説しています。

操作日時は分かる？

多くのアーティファクトには日時情報があります。

ただし、すべての日時が「人がその操作をした瞬間」を意味するわけではありません。

例えば$MFTには複数の日時情報がありますし、LNKにもリンク自体と参照対象に関係する情報があります。

ファイルコピー、同期、OS処理、アプリケーション動作等によって日時が変化することもあります。

そのため、

どのデータの時刻か
UTCか日本時間か
PCの時計にずれがないか
操作発生時刻かログ記録時刻か
別の証拠の時刻と整合するか

を確認してから時系列を作ります。

一つのログではなく、複数の証拠を時間軸で照合する

以下は説明用の架空例であり、当社の実案件ではありません。

時刻	確認された記録	その段階で言えること
10:02	顧客リストを参照した手掛かり	対象PCでそのファイルが扱われた可能性
10:05	USB機器の利用に関する記録	USBが利用された手掛かり
10:07	クラウドストレージへのアクセス履歴	そのサービスへアクセスした手掛かり

この3つの時間が近いとしても、

「顧客リストをUSBまたはクラウドへ持ち出した」

とはまだ断定できません。

ここで確認できているのは、

顧客リストに関係する痕跡
USBに関係する痕跡
クラウドへのアクセス

という3つの事実です。

USB上で対象ファイルが確認された、クラウド側に対象ファイルのアップロード記録があった、DLP等で送信結果が確認された、といった証拠が追加されれば、言える範囲は変わります。

フォレンジックでは、

確認できた事実

証拠から合理的に考えられること

現在の証拠では確認できないこと

を分けて報告します。

株式会社赤井事務所の実案件でも「痕跡あり」と「コピー確認」を分けている

株式会社赤井事務所が実際に解析したWindows PC案件では、外部記録媒体上の特定フォルダに関するShellBagsの痕跡を確認した事例があります。

一方、その案件では、調査対象となっていた個別ファイル群について、USB側パスに対応するLNK、Jump Lists、Officeの最近使用した項目等から必要な一致を確認できず、対象ファイルがUSBへコピーされた直接証跡は未確認と評価しました。

つまり、

外部媒体上のフォルダを参照した可能性

と、

その中へ対象ファイルをコピーしたこと

を同じ結論にはしていません。

このように、調査では「見つかった痕跡」だけでなく、確認できなかった証拠も結論に反映することが重要です。

※実案件資料から、依頼企業名、対象者名、具体的なファイル名・パス・日時等を除いて紹介しています。

実案件ではWindowsの複数アーティファクトを解析している

株式会社赤井事務所の実案件の解析記録では、Windows PCに対して実際に、

AmCache
ShimCache／AppCompatCache
$MFT
$UsnJrnlに相当する$J
LNK
Jump Lists
Prefetch
Recycle Bin
ShellBags
SRUM

等を解析した記録があります。

ただし、これはすべての案件で全アーティファクトを一律に解析するという意味ではありません。

実際の調査では、確認したい事実、対象期間、PCの状態、取得できた証拠に応じて解析対象を決めます。

重要なのはツール名やアーティファクト数ではなく、

調べたい事実に対し、どの証拠を使えば何まで言えるのか

を設計することです。

証拠保全では原本・保管用・解析用を分ける場合がある

株式会社赤井事務所の実際のPC証拠保全案件では、ノートPCから内蔵SSDを取り外し、Logicube社製Falcon Neoを使用して2つのディスクイメージを作成した記録があります。

一つを保管用、もう一つを解析用とし、原本SSDと2つのディスクイメージについてハッシュ値を算出し、一致を確認しています。

そのうえで解析用データを調査します。

フォレンジックでは、「何を見つけたか」だけでなく、

どのデータを、どのように取得し、どのデータを解析したのか

を後から説明できるようにすることも重要です。

証拠保全の考え方については、デジタル・フォレンジック研究会の「証拠保全ガイドライン第10版」でも、対象物の状態把握、取得・保全、同一性の検証、作業内容の記録等が整理されています。

フォレンジックを考えているPCで避けたい初動

PCフォレンジックを実施する可能性がある場合は、調べようとして対象PCの状態を必要以上に変えないことが重要です。

特に、調査前に自己判断で次の操作を行うと、確認したい情報へ影響する場合があります。

PCを初期化する
OSを再インストールする
ログやブラウザ履歴を削除する
復元ソフトや調査ソフトを大量にインストールする
ファイルを次々に開く
大量のファイルを書き込む
対象PCを通常業務で長期間使い続ける

ただし、

「一度触れば証拠が全部消える」

わけではありません。

また、

「必ず電源を切れば安全」

とも限りません。

稼働中のPCには電源を失うことで取得できなくなる情報が存在する場合があります。一方、進行中の攻撃や外部送信がある場合は、証拠保全と同時に被害拡大防止も必要です。

デジタル・フォレンジック研究会の現行ガイドラインも、インシデント直後の対応、対象物の状態把握、証拠保全方法を状況に応じて検討する構成になっています。

そのため、現在の電源状態、暗号化、ネットワーク接続、進行中の被害、業務影響等を確認して対応を決めます。

自社確認で足りる場合と、専門調査を検討する場合

すべての疑いで高度なPCフォレンジックが必要なわけではありません。

状況	主な判断
メール本文や送信先が会社管理画面から明確に確認できる	自社確認で足りる場合がある
クラウド監査ログで必要な操作が明確に確認できる	IT・管理担当者による確認で進められる場合がある
EDR・DLP等に必要な操作結果が残っている	既存ログの保全・分析を優先
削除されたファイルや履歴を確認したい	PCフォレンジックを検討
複数のログを横断して時系列化する必要がある	PCフォレンジックを検討
PC・USB・メール・クラウド等にまたがる	専門調査を検討
原本状態を保全したい	証拠保全を検討
懲戒・紛争・法的手続きへの利用を想定している	取得・管理・解析経緯を説明できる調査を検討