Windowsには、過去のすべてのファイルについて「ファイルAを場所Xから場所Yへコピーした」と後から一覧で確認できる、万能な標準履歴が常に残るわけではありません。

しかし、コピー元とコピー先のファイル、MFT・USNジャーナル、LNK・Jump Lists、USB接続記録、監査ログ、外部媒体のファイルシステム、ハッシュ値などを組み合わせることで、コピーされた事実や可能性を評価できる場合があります。

重要なのは、「ファイルが存在した」「開いた」「コピーした」「外部へ持ち出した」を同じ事実として扱わないことです。

この記事では、Windows PCで過去のファイルコピーを調べるときに、何を確認でき、どこから先は断定できないのかを、株式会社赤井事務所／デジタルフォレンジックPROの公開事例とWindowsの技術仕様をもとに整理します。

なお、ここで扱う「コピー履歴」はWindowsのバックアップ機能である「ファイル履歴」や、Windows＋Vで表示するクリップボード履歴とは別のものです。

Windows PC全体で確認できる証拠や、ファイル操作・USB・削除・Web閲覧・ログオンなどを含めた調査範囲については、PCフォレンジックで何が分かる？Windows PCに残る証拠と、確認できること・できないことで整理しています。

ファイルコピーだけでなく、USB接続、MFT・USN、LNK・Jump Lists、削除ファイルなどWindows PCに残る証拠全体を確認したい場合は、Windows・PCフォレンジックで、主な調査項目と痕跡をまとめています。

Windowsにファイルコピー履歴は残る？

結論から言うと、通常のWindows PCに、過去のすべてのファイルコピーを「コピー元→コピー先」の形で記録する標準ログが必ず存在するわけではありません。

ただし、環境によって確認できる記録は大きく異なります。

環境	コピー調査で確認できる可能性
操作ログ・DLP・EDR等を事前導入している	製品によってはコピー・移動・外部媒体への保存を明示的に記録できる
Windowsのファイル監査を事前設定している	対象ファイルへのアクセスや書き込みに関する監査記録が残る場合がある
ファイルサーバー側の監査がある	共有ファイルへのアクセスや書き込みをサーバー側から確認できる場合がある
特別な監視設定をしていない通常PC	MFT・USN・LNK・Jump Lists・USB接続履歴・実ファイル等を組み合わせて過去の状況を再構成する

つまり、「イベントビューアーを開けば過去のコピー一覧が出る」と考えるのは適切ではありません。

一方、事前に操作ログ製品等を導入していた企業では、コピーそのものを記録している場合があります。まず、調査対象期間にどの監査・セキュリティ製品が稼働していたかを確認することが重要です。

「存在した」「開いた」「コピーした」は別の事実

ファイルコピー調査では、見つかった痕跡から結論を広げすぎないことが重要です。

確認できたこと	そこから直接言えること	それだけでは言えないこと
PC上にファイルが存在した	その保存場所にファイルが存在した	誰かが開いた
LNK等の利用痕跡がある	対象ファイル・場所が利用された可能性	コピーした
USBが接続されていた	そのUSBがPCで認識された	ファイルをUSBへコピーした
USB上に同名ファイルの痕跡がある	USB上でその名称のファイルが扱われた可能性	PCからUSBへコピーした
コピー先に同じ内容のファイルがある	両者の内容が一致する可能性	コピー方向・操作日時・操作者
外部媒体へコピーされた可能性が高い	証拠の組み合わせがコピーと整合する	社外の第三者へ渡した

特に、

USB接続＝ファイルコピー

ではありません。

同様に、

LNKがある＝コピーした

USNにFILE_CREATEがある＝コピーした

同名・同容量＝同一ファイル

でもありません。

ファイルを「開いた」ことを調べる場合と、「コピーした」ことを調べる場合では、必要な証拠が異なります。

ファイルを「開いた・利用した」痕跡については、Windowsでファイルを開いた履歴は分かる？LNK・Jump Listsの調査方法で詳しく解説しています。

ファイルコピーを調べるときに確認する主な証拠

コピーを検証するときは、一つのアーティファクトだけで判断するのではなく、複数の独立した記録を対応付けます。

MFT

NTFSでは、MFT（Master File Table）がファイルやフォルダを管理しています。

ファイル名、サイズ、各種時刻、親フォルダとの関係などから、

• 対象ファイルが存在したか
• コピー先と考えられる場所に新しいファイルが作成されたか
• 削除済みファイルに関する管理情報が残っているか

などを調べる手掛かりになります。

ただし、MFTは「コピー履歴」ではありません。

コピー先に新しいファイルが作成された記録があっても、そのファイルがどこからコピーされたのかまでは、MFT単独では決まりません。

USNジャーナル

NTFSのUSN Change Journalには、ファイルシステム上で生じた変更が記録される場合があります。

代表的なReasonには、FILE_CREATE、FILE_DELETE、RENAME、DATA_EXTEND、DATA_OVERWRITE、CLOSEなどがあります。

例えばコピー先側でFILE_CREATEやデータ書き込みに関係する記録が見つかれば、ファイル生成の流れを確認する材料になります。

しかし、

FILE_CREATE＝コピー

ではありません。

新規作成、ダウンロード、アプリケーションによる出力、同期処理などでもファイルは生成されます。

MFT・USNの詳細については、MFT・USNジャーナルで何が分かる？Windowsのファイル作成・変更・削除履歴を解析で詳しく解説しています。

LNK・Jump Lists

LNKやJump Listsは、対象ファイルや保存場所がユーザー環境で利用されたことを調べる手掛かりになります。

特に外付け媒体や共有フォルダ上のパスが残っていれば、「その場所にあるファイルが利用された可能性」を検討できます。

ただし、ファイルを開く、保存する、最近使った項目として記録される、といった動作とコピーは別です。

LNK・Jump Listsは、コピーの補助証拠にはなっても、それだけでコピーを証明するものではありません。

ShellBags

ShellBagsは、Windows Explorerで利用されたフォルダ等を調べる手掛かりになることがあります。

外部媒体やネットワーク上のフォルダに関する痕跡が残っていれば、その場所が利用された可能性を検討できます。

ただし、

フォルダを閲覧した＝その中のファイルをコピーした

とは言えません。

USB接続記録

USBメモリや外付けストレージについては、Windows側に残るデバイス情報等から、接続された媒体の識別情報や接続時期を確認できる場合があります。

コピー調査では、

1. どのUSBが接続されていたか
2. どの時間帯に利用可能だったか
3. その時間帯に対象ファイルが扱われたか
4. USB上を示すファイル・フォルダの痕跡があるか
5. コピー先媒体そのものを回収できるか

を分けて確認します。

USBデバイスの特定や接続履歴については、USBメモリの接続履歴を調査｜ファイルコピー・情報持ち出しの痕跡で詳しく解説しています。

コピー先のUSB・外付けディスク

コピー先と疑われる媒体を回収できる場合は、PC側だけを調べる場合より確認できる範囲が広がります。

比較する主な情報は、

• ファイル名
• ファイルサイズ
• 実ファイルの内容
• SHA-256等のハッシュ値
• タイムスタンプ
• 保存パス
• コピー先媒体側のファイルシステム記録

です。

特にコピー元とコピー先の実ファイルを取得できれば、内容そのものを比較できます。

Windows監査ログ・サーバー側ログ

ファイルアクセス監査が事前に設定されている場合、Windows Security Event 4663等が追加材料になることがあります。

4663は、必要な監査設定や対象オブジェクトのSACL等の条件を満たした場合に生成される記録です。通常のWindows PCで、過去の全ファイルについて自動的に完全な監査記録が残るという意味ではありません。

共有フォルダやファイルサーバーが関係する場合は、クライアントPCだけでなく、共有側の監査ログやファイルサーバーの記録も確認します。

MFT・USNだけで「コピーした」と分かる？

原則として、MFTやUSNだけを見て「ファイルAを場所Xから場所Yへコピーした」と断定することはできません。

例えばコピー先側に、

• ファイルの新規作成
• データ書き込み
• ファイルクローズ

に関係する記録が連続していても、そこから分かるのは主に「そのファイルにそのような変更が生じた」ということです。

コピーだったのか、ダウンロードだったのか、同期だったのか、アプリから新規保存されたのかは別に調べます。

コピー元のファイル、コピー先のファイル、外部媒体の接続、アプリの利用、周辺時刻の記録などが整合するかを確認して、初めてコピーとの関係を評価できます。

また、ファイルのタイムスタンプを、そのまま人間が操作した時刻と読み替えないことも重要です。ファイル時刻はOS・アプリケーション・保存方法などによって更新されるため、単独の日時だけで操作を認定しません。

USBが接続されていればコピーしたと言える？

言えません。

USB接続履歴が示すのは、原則として「その外部媒体がPCで利用可能な状態になった」という事実です。

例えば、

USB接続
↓
会社ファイルを開く
↓
圧縮ファイルを作成
↓
USB上の同名ファイルに関する痕跡
↓
PC側の圧縮ファイルを削除

という記録があれば、USB接続だけの場合よりコピーとの関連は強くなります。

ただし、時刻が近いというだけで、すべてが同じ一連の操作だったことの証明にはなりません。

対象ファイル、保存場所、容量、内容、媒体識別情報なども合わせて確認します。

コピー先のUSBがある場合は何を比較する？

ｑｑあ

コピー先と疑われるUSBや外付けディスクを回収できた場合、最も重要なのはコピー元とコピー先を直接比較できることです。

例えばPC側に顧客一覧.xlsxがあり、USBにも同じ名前のファイルがある場合、まず名称と容量を比較します。

しかし、同じファイル名・同じ容量だけでは、同一内容とは断定できません。

可能であれば実ファイルを取得し、SHA-256等のハッシュ値を比較します。

比較結果	評価できること	それだけでは分からないこと
同じファイル名	関連する可能性	内容が同一か
同名・同容量	関連性がさらに高まる	バイト単位で同一か
内容を比較して一致	内容の対応を強く確認できる	コピー方向
SHA-256が一致	内容同一性を非常に強く裏付ける	誰が、いつ、どの操作でコピーしたか

ハッシュが一致しても、

「PCからUSBへコピーした」

という方向そのものをハッシュ値が記録しているわけではありません。

例えばPCとUSBの両方が、別の共有サーバーから同じファイルを取得した可能性もあります。

コピー経路まで確認するには、時系列や周辺記録との照合が必要です。

コピー先媒体がない場合はどこまで分かる？

コピー先USB等を回収できない場合は、証拠上の制約が大きくなります。

この場合はPC側に残る、

• USB接続記録
• 対象ファイルの利用痕跡
• LNK・Jump Lists
• ShellBags
• MFT・USN
• 圧縮ファイルの作成
• 外部媒体上のパスに関する痕跡
• コピー前後の削除
• Windowsや管理製品の監査記録

などを時系列で照合します。

複数の証拠が整合すれば、コピーされた可能性を強く評価できる場合があります。

一方、コピー先の実データを確認できなければ、

「このファイルが、このUSBへ、完全な状態でコピーされた」

まで確認できない場合があります。

フォレンジック調査では、「何も断定できない」か「コピー確定」かの二択ではなく、確認できた事実と、複数証拠から合理的に評価できる範囲を分けることが重要です。

同名・同容量とSHA-256一致は何が違う？

この違いは、ファイルコピー調査で特に重要です。

同じファイル名のファイルは簡単に作れます。

同じ容量の別ファイルも存在し得ます。

そのため、

同名・同容量は関連性を示す材料であり、内容同一性そのものの証明とは分けて扱います。

一方、コピー元とコピー先から取得した実ファイルについてSHA-256等を計算し、同じ値が確認された場合は、実務上、両者の内容同一性を非常に強く裏付けることができます。

ただし、ハッシュ値から分かるのは主にデータ内容の対応です。

• 操作者
• コピー方向
• コピーに使用したアプリ
• 正確なコピー時刻
• その後の第三者提供

は、別の証拠で確認します。

コピー・移動・同期はどう区別する？

見た目には似ていても、調査上は別の操作です。

操作	調査時に注意すること
コピー	元ファイルを残しながら別の場所にファイルが生成される
同一ボリューム内の移動	データ全体を新たにコピーするとは限らず、保存場所の変更として現れる場合がある
別ボリュームへの移動	操作方法によってはコピーと元ファイル削除に相当する処理になる場合がある
クラウド同期	同期アプリによって自動的にファイルが生成される場合がある
ダウンロード	ブラウザやアプリから新規ファイルとして保存される
アプリの「名前を付けて保存」	元ファイルとは別の新規ファイルが生成される場合がある

MicrosoftのMoveFileExでは、別ボリュームへファイルを移動する際、指定条件によってCopyFileとDeleteFileを使って移動を実現する仕組みがあります。

そのため、「元で削除され、別ドライブで作成された」という二つの記録だけで、ユーザーがExplorer上で「移動」を選んだのか、「コピーしてから削除」したのかまで決められない場合があります。

複数の痕跡を時系列で照合するときの見方

コピー調査では、証拠を単純な○×で評価するのではなく、それぞれがどの事実を支えているのかを整理します。

例えば、次のように考えます。

手掛かり

USB接続、対象ファイルの利用、対象フォルダの閲覧など。

これだけではコピーを示しませんが、「いつ・どこを詳しく見るか」を絞る材料になります。

補強材料

対象ファイルを連続して利用した直後の圧縮ファイル作成、USB上の同名・同容量ファイルに関する痕跡、コピー後と考えられる時間帯の削除など。

複数が整合すると、コピーとの関連を評価しやすくなります。

より強い裏付け

コピー先媒体そのものを回収し、コピー元とコピー先の実ファイルについて内容やSHA-256等が一致し、ファイルシステム記録や周辺時刻とも矛盾しない場合です。

ただし、証拠の強さは案件の条件によって変わります。

「USB接続は弱い、ハッシュは強い」と固定的な点数を付けるのではなく、何を証明しようとしているのかに対して、それぞれの記録が何を支えるのかを考えます。

実際の調査事例｜複数の痕跡からUSBへのコピー可能性を評価したケース

株式会社赤井事務所／デジタルフォレンジックPROが公開している調査事例では、退職予定者が使用していたWindows PCについて、USBへの情報持ち出しの可能性を調査しています。

調査で確認されたこと

対象PCでは、5台のUSBメモリに関する接続履歴が確認されました。

そのうち1台は、重点確認した期間に4日間連続して接続されていました。

接続時間帯には、

• 社内保存先の業務ファイルの利用
• 複数ファイルをまとめた圧縮ファイルの作成
• USB上の同名・同容量ファイルに関する利用痕跡
• PC内に作成された圧縮ファイルの削除

が確認されています。

最終評価

この事例では、単独の「COPY」というイベントを根拠にコピーを認定したわけではありません。

USBの接続状況、社内ファイルの利用、圧縮ファイル作成、外部媒体側の関連痕跡、削除までを時系列で整理し、複数の記録が整合していることから、

業務ファイルがUSBへ保存またはコピーされた可能性は高い

と評価しました。

それでも断定していないこと

一方、この事例の原資料では、

• USB側の実ファイルとPC側ファイルの完全一致
• 圧縮ファイルに含まれていた全内容
• 実際に操作した人物
• USBから第三者へデータが渡されたこと

までは断定していません。

つまり、この事例の価値は「Windowsにコピー履歴が残っていた」ことではなく、一つでは不十分な複数の痕跡を組み合わせ、確認できる事実と評価できる可能性を分けたことにあります。

また、この事例で同名・同容量が重要な材料になったからといって、「同名・同容量ならコピー確定」と他の案件へ一般化することはできません。

ファイルコピー調査で「分かること」と「それだけでは分からないこと」

確認した痕跡	比較的言いやすいこと	それだけでは言えないこと
USB接続履歴	USBが接続・認識された	ファイルをコピーした
LNK	ファイル・場所が利用された手掛かり	コピーした
Jump Lists	アプリとファイル利用の関係を示す手掛かり	外部媒体へコピーした
ShellBags	フォルダ利用の手掛かり	フォルダ内ファイルをコピーした
MFT	ファイルの存在・管理情報等	コピー操作そのもの
USNジャーナル	ファイルシステム上の変更	変更原因がコピーだった
FILE_CREATE	ファイルが作成されたことに関する記録	コピー元や作成理由
同名・同容量	コピー元と関連する可能性	内容が完全に同じ
SHA-256一致	内容同一性の非常に強い裏付け	コピー方向・操作者・時刻
コピー先媒体の実ファイル	コピー先側に対象内容が存在すること	誰がどの経路で保存したか
4663等の監査記録	条件を満たせば対象へのアクセス・処理	すべてのコピーの完全な履歴
複数痕跡の時系列整合	コピーという説明を補強できる	時刻が近いだけで100％の証明

「何が見つかったか」だけでなく、その証拠から何を言ってよいかを分けて報告することが重要です。

調査前に保存するもの・避けたい操作

過去のコピーを証拠として調べる可能性がある場合は、調査を始める前に対象PCの状態を整理します。

最低限、次を記録してください。

• PCの管理番号・端末名・利用者
• 調べたいファイル名と元の保存場所
• 問題となっている期間
• 疑われるコピー先
• 回収できているUSB・外付け媒体
• 現在の電源・ログオン・暗号化・ネットワーク状態
• すでに行った確認、再起動、削除、設定変更

証拠保全が必要な案件では、

• 対象PCで大量のファイルを開く
• クリーンアップを実行する
• 不要なソフトをインストールする
• 初期化する
• 削除データを元ドライブへ復元する
• 調査前に通常業務へ再配布する

といった操作が、残っている記録を変更・上書きする可能性があります。

ただし、すべての案件で「直ちに電源を切る」「必ずネットワークケーブルを抜く」と一律に判断することも適切ではありません。

起動中の端末では揮発性情報や暗号化解除状態が関係する場合があり、現在も情報流出が続いている場合には被害停止を優先する必要もあります。

現在の状態を記録し、何を確認したいのかに応じて保全方法を判断します。

自社確認で足りる場合と専門調査を検討する目安

状況	自社確認で対応できる場合	専門調査を検討する目安
事前導入した操作ログがある	管理画面で対象期間・ファイル・端末を確認	ログの解釈や他証拠との照合が必要
USB接続有無だけ確認したい	既存の管理ログ等で確認できる場合	過去の媒体識別・複数痕跡の解析が必要
コピー先媒体を回収済み	ファイル名・容量等の一次確認	ハッシュ・ファイルシステムを含めて証拠化したい
コピー先媒体がない	既存監査ログ等を確認	MFT・USN・LNK等を時系列で照合する必要がある
ファイル削除が関係する	バックアップ等で目的を満たせる	削除前後の操作や持ち出しとの関係を調べたい
懲戒・訴訟等で利用予定	社内資料を整理	原本保全、取得記録、正式な解析が必要

特に、コピー先のUSBが回収できない、ファイル削除がある、複数のログを組み合わせなければ判断できない、第三者へ調査経緯を説明する必要がある場合は、通常の履歴確認よりフォレンジック調査が必要になる可能性があります。

USBによる持ち出しが疑われ、「まずWindows PC1台にUSB接続痕跡が残っているか確認したい」という初動段階では、デジタルフォレンジックPROの「情報持ち出し 初動診断」も利用できます。Windows端末1台、16,500円（税込）、PDF簡易レポート付きの初動確認であり、情報持ち出しそのものを断定するサービスではありません。

まとめ

Windowsには、過去のすべてのファイルコピーを「コピー元→コピー先」と一覧表示できる万能な標準履歴が常に残るわけではありません。

そのため、過去のコピーを調べる場合は、MFT・USNジャーナル・LNK・Jump Lists・USB接続記録・監査ログ・コピー先媒体などを組み合わせて評価します。

重要なのは、

「ファイルが存在した」
「ファイルを開いた」
「USBを接続した」
「ファイルをコピーした」
「社外へ持ち出した」

を別々の事実として扱うことです。

コピー先媒体を回収でき、コピー元とコピー先の実ファイルやハッシュ値まで比較できる場合は、PC側だけを調べる場合より強い裏付けを得られます。

一方、コピー先がなくても、USB接続、ファイル利用、圧縮ファイル生成、外部媒体上のパス、削除など複数の痕跡が整合すれば、「コピーされた可能性が高い」と評価できる場合があります。ただし、その評価を「コピーを確認した」「本人が持ち出した」と必要以上に強めてはいけません。

通常の確認だけで目的を満たす場合は社内調査で足りることもあります。削除、退職者PC、コピー先不明、懲戒・訴訟利用などが関係する場合は、端末の初期化や再利用を進める前に証拠保全と専門調査の必要性を検討してください。

参考資料

技術資料確認日：2026年9月10日。Windowsの構成、ファイルシステム、監査設定、アプリケーション、保存期間等によって、実際に残る記録は異なります。

• Microsoft Learn「Master File Table (Local File Systems)」
• Microsoft Learn「Change Journals」
• Microsoft Learn「Change Journal Records」
• Microsoft Learn「USN_RECORD_V2 structure」
• Microsoft Learn「File Times」
• Microsoft Learn「MoveFileExA function」
• Microsoft Learn「4663(S): An attempt was made to access an object」
• Microsoft Learn「5145(S, F): A network share object was checked to see whether client can be granted desired access」
• Microsoft Open Specifications「Shell Link (.LNK) Binary File Format」
• Microsoft Learn「IApplicationDocumentLists」
• NIST SP 800-86「Guide to Integrating Forensic Techniques into Incident Response」
• 株式会社赤井事務所／デジタルフォレンジックPRO「16,500円の簡易フォレンジック調査事例｜退職予定の従業員によるUSBへの情報持ち出し」
• デジタル・フォレンジック調査ラボ「MFT・USNジャーナルで何が分かる？Windowsのファイル作成・変更・削除履歴を解析」
• デジタル・フォレンジック調査ラボ「USBメモリの接続履歴を調査｜ファイルコピー・情報持ち出しの痕跡」
• デジタル・フォレンジック調査ラボ「デジタルフォレンジックの証拠保全とは？原本・ディスクイメージ・ハッシュ値の意味」