Teamsのチャット履歴を調査｜削除・編集したメッセージは残る？

Teamsで削除・編集されたメッセージでも、組織の保持設定やMicrosoft Purview eDiscovery等の条件によっては、後から内容を確認できる場合があります。

ただし、Teams画面から消えたメッセージが必ず残っているわけではありません。確認できる範囲は、保持ポリシー、eDiscovery Hold、ライセンス、対象期間、チャットの種類、削除・編集の時期などによって変わります。Microsoftは、保持対象のメッセージをユーザーが編集・削除した場合、コンプライアンス用コピーが保護された場所に保持され、Teams画面から見えなくなった後もeDiscoveryで確認できる場合があると説明しています。

企業の調査では、次を同じ「Teamsの履歴」として扱わないことが重要です。

• 現在Teams画面に表示されているチャット
• Microsoft Purview Auditに残る操作記録
• eDiscoveryで検索できるコンプライアンス用データ
• OneDrive／SharePointに保存された共有ファイル
• Microsoft Entra ID等の認証記録
• 対象PCに残るブラウザ・ファイル・同期等の痕跡

つまり、「Teams画面から消えた」ことと「調査上確認できない」ことは同じではありません。

Teamsのチャット履歴だけでなく、Microsoft 365の監査ログ、SharePoint・OneDrive、Google Workspaceなどクラウド側の証拠全体を確認したい場合は、クラウドフォレンジックで、主な調査項目と確認方法をまとめています。

Teamsのチャット履歴はどこまで確認できる？

現在表示されている履歴だけでなく、条件によっては削除・編集されたメッセージや、その周辺の会話をeDiscovery等で確認できる場合があります。ただし、過去のすべての履歴を無条件に取得できるわけではありません。

まず、「履歴が消えた」という状態自体を分けて考える必要があります。

Teamsでは、チャットを非表示にしただけなら検索等から再び表示できる場合があります。また、一部のチャット履歴を自分側から削除する操作と、自分が送信した個別メッセージを削除する操作では意味が異なります。Microsoft Supportでも、チャットの非表示と削除は別の操作として説明されています。

企業調査では、さらにその先を確認します。

確認した状態	比較的言いやすいこと	それだけでは言えないこと
Teams画面にメッセージがある	現在その画面で確認できる	過去に編集されていない
Teams画面から消えている	現在表示されていない	コンプライアンス用データも消えた
Auditに削除イベントがある	削除に関係する操作が記録された	削除前の本文すべて
eDiscoveryでメッセージが見つかる	検索対象データとして確認できる	現在もTeams画面に表示されている
検索結果がない	今回の条件では該当データを確認できなかった	その会話が存在しなかった

調査では、記録された事実と、そこから導く評価を分けることが重要です。

Teamsの調査ではどの証拠源を見る？

Teamsには「これ一つを見れば全部分かる」という単一の調査ログはありません。目的に応じてAudit、eDiscovery、OneDrive、SharePoint、Entra ID、PC等を使い分けます。

Microsoftの現行資料では、Teamsの実メッセージデータはAzure Cosmos DBにあり、Exchange Onlineにはコンプライアンス目的の記録が保存され、eDiscoveryはその記録へアクセスすると説明されています。eDiscoveryがTeamsの実メッセージデータそのものを直接検索しているわけではありません。

証拠源	主に確認するもの	主な注意点
Teams画面	現在表示される会話、参加者、ファイル等	削除・保持済みデータの全体像ではない
Purview Audit	Teams上の各種操作	チャット本文を読むための機能ではない
Purview eDiscovery	検索可能なTeamsメッセージ、会話、関連コンテンツ	削除データを何でも復元する機能ではない
OneDrive	チャットで共有したファイル等	ファイルの存在と相手の取得は別
SharePoint	チャネルで共有したファイル等	アクセスとダウンロードを分けて確認する
Entra ID	サインイン、アプリ、IP、端末等	アカウント利用＝本人操作ではない
対象PC	ブラウザ、ファイル、同期、ログオン等	クラウド側記録との照合が必要

Microsoft 365全体でのAudit、Exchange、OneDrive、SharePoint、Entra IDの役割については、Microsoft 365の監査ログで何が分かる？Purview・Exchange等を調査で整理しています。

削除したTeamsメッセージは残る？

残る場合がありますが、必ずではありません。

Microsoft Teamsの保持ポリシーでは、対象のチャットやチャネルメッセージを一定期間保持できます。保持対象のメッセージをユーザーが編集・削除しても、コンプライアンス用コピーが保護された場所に保存され、Teams画面から見えなくなった後もeDiscoveryで確認できる場合があります。保持期間はTeamsメッセージの場合、原則としてメッセージが作成された時点を基準に計算されます。

つまり、

ユーザーが削除した
≠
Microsoft 365上の調査可能なコピーも即時に完全消去された

です。

一方で、保持ポリシーやHoldが適用されていなかった、保持期間が終了している、対象データがすでに永久削除されているなどの条件では、確認できないことがあります。

削除操作そのものはAuditで確認できる場合がある

Microsoft Purviewの監査アクティビティには、Teamsのチャットまたはチャネルメッセージ削除を示すMessageDeletedが定義されています。

ただし重要なのは、Microsoftが現在、MessageDeletedをAudit (Premium)限定イベントとしていることです。対象ユーザーへ適切なライセンスが割り当てられる前のイベントを、後から遡って生成できるわけではありません。

したがって、

MessageDeletedが見つからない
＝
削除されていない

とは判断できません。

対象期間のライセンス、監査状況、ログ保持期間、検索条件まで確認する必要があります。

また、Teams画面へ元のメッセージを戻す意味での「復元」と、eDiscovery等で保持された内容を調査できることも別です。

編集したTeamsメッセージの履歴は確認できる？

確認できる場合があります。ただし、すべての編集前文章を無条件に完全再現できるとは限りません。

Microsoft Purview eDiscoveryのTeamsレビューセットでは、Teamsコンテンツに対してContainsEditedMessageというメタデータがあります。これは、そのトランスクリプトに編集されたメッセージが含まれていることを示します。ContainsDeletedMessageも同様に、削除メッセージを含むトランスクリプトを識別するための情報です。

さらにMicrosoftは、対象ユーザーがHoldの対象になっている場合、編集されたメッセージの以前のバージョンも保持されると説明しています。

ここでも区別が必要です。

ContainsEditedMessageがある
≠
すべての編集履歴が無条件に完全保存されている

です。

実際にどの内容を確認できるかは、保持・Holdの状態、対象期間、収集したデータ、編集時期等を確認して判断します。

Audit側にもTeamsメッセージの編集に関係するアクティビティが定義されていますが、Auditの操作記録と、編集前後の本文を調べるeDiscovery上のコンテンツは役割が異なります。

eDiscoveryではTeamsチャットをどのように確認する？

問題の1メッセージだけを見るのではなく、必要に応じて前後の会話や添付ファイルまで含めて確認します。

Microsoft Purview eDiscoveryでは、Teamsコンテンツをレビューセットへ追加すると、会話のGrouping、Conversation transcript threading、重複処理、Teams固有のメタデータ等を利用できます。

特に調査で重要なのが会話のコンテキストです。

キーワード等を使って1対1・グループチャットを収集する場合、Microsoftの現行仕様では、ヒットしたメッセージの前後12時間のメッセージをコンテキストとして含める処理があります。標準・プライベート・共有チャネルでは、該当する投稿とその返信をまとめて扱えます。

例えば、単独のメッセージだけを見ると、

「この資料を送ります」

という文章が問題に見えても、その直前に、

「顧客への正式回答用として共有してください」

という業務上の指示が存在する可能性があります。

逆に、前後の会話によって外部持ち出しの意図を疑う材料が増えることもあります。

そのため、調査では単独の文言だけを切り出さず、

• ConversationId
• Participants
• Recipients
• Message kind
• 添付ファイル
• 前後のメッセージ
• 投稿日時

等を対応付けて確認します。

なお、TeamsのeDiscoveryレビューセットでは時刻がUTCで表示されるため、PCログや日本時間の社内記録と照合するときはタイムゾーンをそろえる必要があります。

Teamsの監査ログだけでチャット本文まで分かる？

原則として、Teamsの監査ログとチャット本文は分けて考える必要があります。

Purview Auditは、Teams上で記録された操作を調査するための証拠源です。MicrosoftはTeamsについて、チーム・チャネル関連操作や各種メッセージ関連イベント等を監査対象として定義しています。

例えば、

• MessageDeleted
• GraphMessageUpdated
• チーム・チャネル作成／削除
• メンバーや設定に関係する操作

等が確認候補になります。

しかし、

監査イベントがある
≠
その監査ログだけでチャット本文全体が読める

です。

削除前・編集前後の内容や会話の前後関係を確認する場合は、eDiscovery等のコンテンツ側を確認します。

Auditは「何らかの操作」に関する証拠、eDiscoveryは「検索・保持されたコンテンツ」に関する証拠、と分けて考えると理解しやすくなります。

Teamsで共有したファイルはどこに残る？

チャットで共有したファイルと、チャネルで共有したファイルでは保存先が異なります。

Microsoftの現行資料では、1対1・グループチャットで共有したファイルは、基本的に共有したユーザーのOneDriveに保存されます。一方、標準チャネルで共有したファイルは、そのチームに対応するSharePointサイトへ保存されます。

主な構造は次のとおりです。

Teams上の場所	メッセージのコンプライアンス記録	共有ファイル
1対1チャット	参加者側のExchange Online関連領域	共有者のOneDrive
グループチャット	参加者側のExchange Online関連領域	共有者のOneDrive
標準チャネル	チームに関連するExchange Online領域	チームのSharePointサイト
プライベートチャネル	チャネル種別に応じたExchange Online側記録	専用SharePointサイト
共有チャネル	共有チャネル用のコンプライアンス記録	専用SharePointサイト

プライベートチャネルや共有チャネルでは、検索対象となるメールボックスやSharePointサイトの扱いも標準チャネルと異なります。Microsoftは、共有チャネルについては親チームのメールボックスを対象に検索する必要があること、プライベート・共有チャネルのファイルはそれぞれ専用SharePointサイトに保存されることを説明しています。

そのため、Teamsのチャットだけを取得して調査終了とするのは適切ではありません。

メッセージと実際のファイルデータを分けて確認します。

ファイルを送ったことと、相手が取得したことは同じ？

同じではありません。

Teams上に顧客一覧.xlsxというファイルが共有されていたとしても、その記録だけから、

「相手が顧客一覧.xlsxをダウンロードして端末へ保存した」

とは判断できません。

調査では、例えば次の段階を分けます。

Teamsメッセージでファイルを共有

↓

OneDrive／SharePoint上に対象ファイルが存在

↓

相手へアクセス権が付与された

↓

相手のアカウントからアクセス

↓

FileDownloaded等のダウンロード記録

↓

対象PC等にファイルが存在

Microsoft Purview Auditでは、SharePoint・OneDrive上のファイルについてFileDownloaded等のアクティビティが定義されています。

ただし、クラウド側でダウンロードが記録されても、

ダウンロードイベント
＝
特定人物本人が内容を閲覧し、さらに第三者へ持ち出した

ではありません。

必要に応じて、PC側のブラウザダウンロード履歴や実ファイル、ファイルシステム、同期状態等まで確認します。

Teams Web版やOneDrive／SharePointへのアクセスをPC側から確認する場合は、ブラウザ履歴はフォレンジックでどこまで分かる？Chrome・Edgeを調査も関連します。

さらにUSB等への移動まで問題になる場合は、Windowsでファイルコピー履歴は分かる？USBへのコピー痕跡と調査方法のように、クラウドから取得した後の経路を別に確認します。

誰がTeamsメッセージを送信・削除・編集したか分かる？

使用されたアカウントを確認できる場合はありますが、その記録だけで実際に操作した人物本人まで確定できるとは限りません。

Teams／eDiscoveryやAuditから、

• アカウント
• 参加者
• メッセージ
• 操作時刻
• 各種識別情報

等を確認できる場合があります。

さらに必要に応じて、

• Microsoft Entra IDサインインログ
• IPアドレス
• デバイス情報
• Windowsログオン
• 対象PCの利用記録
• RDP・遠隔操作等

を照合します。

Microsoftは、Entra IDとTeamsの監査記録を関連付けるための識別情報も提供しています。

しかし、

社員Aのアカウントで記録された
≠
社員A本人がキーボードやマウスを操作した

です。

例えば、

• 共用PC
• 保存済みセッション
• 漏えいした認証情報
• アカウント乗っ取り
• 遠隔操作
• 共用アカウント
• アプリや自動処理

等も検討する必要があります。

PC側の利用者を確認する際も、Windowsログオンだけで本人操作を断定することはできません。詳細は、Windowsのログイン履歴を確認｜イベントログで分かること・限界で解説しています。

Teams履歴が見つからなければ、会話はなかったと言える？

原則として、検索結果がないことだけから「会話が存在しなかった」とは断定できません。

確認できない理由には、例えば次があります。

• 保持期間を過ぎている
• 保持ポリシーが適用されていなかった
• eDiscovery Holdの対象ではなかった
• Auditに必要なライセンスがなかった
• 監査ログの保持期間を過ぎている
• 対象ユーザーや期間を誤っている
• 検索語が実際の表記と一致していない
• 1対1、グループ、標準、プライベート、共有チャネルで検索対象が異なる
• 対象データがすでに永久削除されている
• 別テナントやゲスト環境が関係している
• 対象とした証拠源が適切でない

Microsoftの現行eDiscovery資料でも、1対1・グループチャット、標準チャネル、プライベートチャネル、共有チャネルでは、コンプライアンス用データの保存・検索場所が異なることが示されています。

したがって調査結果は、

「会話は存在しなかった」

ではなく、

「今回確認した対象・期間・証拠源・検索条件では該当する会話を確認できなかった」

と、確認範囲を明示する方が適切です。

Teamsの証拠をPCやSharePointとどう突き合わせる？

Teamsだけを見るのではなく、メッセージからファイル、そのアクセス、PC側の保存・利用まで同じ時間軸でつなげます。

例えば情報持ち出しが疑われる場合は、

Teamsメッセージ

↓

OneDrive／SharePoint上の対象ファイル

↓

共有権限

↓

アクセス・ダウンロード

↓

対象PCのブラウザ・同期・実ファイル

↓

圧縮・USB・メール・他クラウド等

という順で確認します。

説明用の例として、

• 14:00　Teamsでファイル共有
• 14:03　SharePoint／OneDriveでダウンロード
• 14:05　対象PCに同名ファイルに関する記録
• 14:12　USB接続

という時系列が確認できたとします。

この場合、各記録が近い時間帯に存在することは確認できます。

しかし、

時刻が近い
＝
TeamsのファイルをそのUSBへコピーした

とは限りません。

対象ファイルの名称、サイズ、内容、ハッシュ値、保存場所、PC側のファイル操作記録、USB本体等を追加確認し、別経路で取得されていた可能性も検討します。

クラウド上の記録とPC側の痕跡は、互いを補強する証拠として扱います。

Teamsの不正利用を疑ったときの初動

まず「何を調べたいか」と「今どの証拠が残っているか」を整理し、不用意な削除・初期化を避けます。

初動では、少なくとも次を整理します。

• 対象アカウント
• 対象期間
• 対象となる1対1／グループ／チャネル
• 現在Teams画面に表示されている内容
• Microsoft 365の契約・ライセンス
• Auditの利用状況と保持期間
• Teamsの保持ポリシー
• eDiscovery Hold等の有無
• OneDrive／SharePoint上の関連ファイル
• Entra ID等の関連記録
• 対象PCと現在の状態
• 発覚後にすでに行った操作

証拠利用を想定する場合は、

• 対象アカウントを削除する
• PCを初期化・再配布する
• Teamsやブラウザを不用意にクリーンアップする
• ファイルを別の場所へ移動して元の状態を失う

といった操作による影響を考える必要があります。

一方、不正アクセスや情報流出が現在も続いている疑いがある場合は、証拠保全だけを理由に被害を放置すべきではありません。アカウント停止、認証情報の変更、端末隔離等が必要な場合は、実施者・日時・内容を記録し、被害停止と証拠保全を両立させます。

PCやデータを後の社内処分・紛争・訴訟等で利用する可能性がある場合は、デジタルフォレンジックの証拠保全とは？原本・ディスクイメージ・ハッシュ値の意味も確認してください。

まとめ

Teamsのチャット履歴を調べるときに最も重要なのは、Teams画面に見えているものだけを「履歴のすべて」と考えないことです。

削除・編集されたメッセージでも、当時の保持設定やHold等の条件によっては、コンプライアンス用データとして保持され、eDiscoveryで確認できる場合があります。一方で、保持されていなければ必ず確認できるわけではありません。

特に次の違いを押さえておく必要があります。

• Teams画面から削除されたことと、調査可能なデータまで完全消去されたことは別
• MessageDeletedは削除操作に関するAuditイベントであり、現在はAudit (Premium)限定
• ContainsDeletedMessageやContainsEditedMessageはeDiscovery上の調査材料であり、万能な完全復元を保証するものではない
• Auditの操作記録とeDiscoveryで確認する本文は別
• チャットのファイルは主にOneDrive、チャネルのファイルはSharePointに保存される
• ファイルを共有したことと、相手がダウンロードしたことは別
• アカウント上の操作と、実際に操作した人物は別
• 検索結果がないことと、会話が存在しなかったことは別
• Teams、OneDrive／SharePoint、Entra ID、PC等を時系列で照合することが重要

自社確認で足りる可能性があるケース

最近の特定チャットについて現在表示されている内容を確認するだけで目的を達成できる場合や、Microsoft 365管理機能による通常の確認で十分な場合は、社内の管理者で対応できることがあります。

単純な誤操作の確認や業務上の履歴確認で、懲戒・訴訟等を想定していない場合も、まず通常機能から確認するのが合理的です。

専門的な調査を検討するケース

一方、

• 削除されたチャットを調べたい
• 編集前後の内容を確認したい
• 退職者が関係している
• 情報持ち出しが疑われる
• ファイル共有後のダウンロードやPC保存まで調べたい
• Teams、SharePoint、OneDrive、Entra ID、PCを横断する必要がある
• 対象アカウントを実際に誰が利用したか検討する必要がある
• ログや履歴に欠落がある
• 懲戒、損害賠償、訴訟等で結果を説明する必要がある
• PCやクラウドデータの証拠保全が必要

といった場合は、単なるTeamsの履歴確認ではなく、デジタルフォレンジックとして証拠源を横断して調査する必要性が高くなります。

参考資料

※Microsoft 365／Teams関連仕様の確認日：2026年9月21日。ライセンス、保持、eDiscovery、Audit等の仕様は変更される場合があるため、実際の調査時には対象環境に対応する最新の公式資料を確認してください。

• Microsoft Learn「Finding content in Microsoft Teams in eDiscovery」
• Microsoft Learn「Review Microsoft Teams content in a review set in eDiscovery」
• Microsoft Learn「Manage retention policies for Microsoft Teams」
• Microsoft Learn「Learn about retention policies & labels to retain or delete」
• Microsoft Learn「Audit log activities」
• Microsoft Learn「Search the audit log for events in Microsoft Teams」
• Microsoft Learn「Learn about auditing solutions in Microsoft Purview」
• Microsoft Support「Hide a chat, remove chat history, or leave a chat thread in Microsoft Teams」