Windowsでファイルを開いた履歴は分かる？LNK・Jump Listsの調査方法

2026年9月9日 最終更新日時 : 2026年9月23日 デジタル・フォレンジック調査ラボ

Windowsでは、「最近使ったファイル」、LNKファイル、Jump Lists、Office等のアプリケーション履歴から、特定のファイルが過去に参照・利用された手掛かりを確認できる場合があります。

ファイル名だけでなく、保存場所や利用したアプリ、関連する日時を調べられることもあります。元ファイルが削除されていても、別の場所に参照痕跡が残っている場合があります。

ただし、履歴がないから一度も開いていないとは限りません。また、参照痕跡だけで、本人が内容を読んだ、コピーした、USBへ持ち出したことまで断定することはできません。

この記事では、最近使ったファイルの確認方法から、会社PC・退職者PCを調査するときの記録の読み方まで整理します。

不正の疑いがあり、証拠として使う可能性があるPCは、確認のためにファイルを開き直す前に保全方法を決めてください。 自分の作業ファイルを探す場合と、過去の操作を調査する場合では、適切な進め方が異なります。

Windows PC全体でどのような証拠を確認できるのか、ファイル操作・USB・Web閲覧・ログオンなどを含めた調査範囲については、PCフォレンジックで何が分かる？Windows PCに残る証拠と、確認できること・できないことで整理しています。

ファイルを開いた履歴だけでなく、MFT・USN、ファイルコピー、USB接続、削除などWindows PCに残る証拠全体を確認したい場合は、Windows・PCフォレンジックで、主な調査項目と確認方法をまとめています。

Windowsでファイルを開いた履歴を確認する方法

自分が最近使った資料を探す場合は、まず次の画面を確認します。表示名や配置は、Windows・アプリのバージョン、設定によって異なります。

エクスプローラーの「最近使用した項目」を見る

  1. Windowsキー＋Eでエクスプローラーを開きます。
  2. Windows 11では「ホーム」、Windows 10では「クイックアクセス」を確認します。
  3. 「最近使用した項目」「最近使ったファイル」等の一覧を見ます。

MicrosoftのWindows 11向け案内でも、ホームには「おすすめ」「お気に入り」「最近使用した項目」等があると説明されています。ただし、おすすめやお気に入りに表示されていることを、そのPCで直近に開いた証拠と同じには扱いません。 Microsoft：エクスプローラーの案内

Excel・Word・PowerPointの一覧を見る

各アプリの**「ファイル」→「開く」→「最近使ったファイル」**等を確認します。起動直後のホーム画面に一覧が表示される場合もあります。

ファイル名とともに、保存場所や表示されている日時の項目名を確認してください。「更新日時」が表示されているなら、それをそのまま「開いた日時」と読み替えないことが大切です。

Microsoftは、最近使用したファイルの一覧と、お気に入り・ピン留めによる固定を区別しています。固定された項目が残っていても、最近利用したとは限りません。Microsoft：Officeの最近使用したファイル

タスクバーのアプリを右クリックする

対応アプリでは、タスクバーのアイコンを右クリックすると、最近扱ったファイルや固定した項目が表示されます。この一覧が**Jump List（ジャンプリスト）**です。

ただし、「新しい文書を作成」などの機能への入口も含まれます。Jump Listの全項目が、過去に開いたファイルの履歴というわけではありません。 Microsoft：Jump Lists

Recentフォルダーを確認する

WindowsのRecentフォルダーも、最近扱ったファイルの手掛かりになります。

通常の自己確認では、Windowsキー＋Rで「ファイル名を指定して実行」を開き、次の場所を指定できます。

%APPDATA%\Microsoft\Windows\Recent

これは、現在サインインしているWindowsユーザー側の場所です。管理者自身のアカウントで開いても、退職者の履歴を見ていることにはなりません。

Recent内には元ファイルではなく、元の場所を指すショートカット等が保存されます。元ファイルが移動・削除されている場合や、USBが取り外されている場合は、一覧に項目があっても開けないことがあります。libyal：Jump lists format

なお、Windowsの**「ファイル履歴」**は、ファイルのバックアップと復元に関する機能です。名前は似ていますが、「誰がいつ文書を開いたか」の一覧とは別です。Microsoft：ファイル履歴によるバックアップと復元

「存在した」「開いた」「コピーした」は別の事実

会社の調査では、見つかった記録から結論を広げすぎないことが重要です。

確認したい事実主な確認対象それだけでは言えないこと
ファイルが存在したファイル本体、ファイル管理情報、過去のパス等誰かが内容を読んだこと
ファイルを開いた・参照したLNK、Jump Lists、アプリ履歴、適切に記録された監査ログ等コピー・印刷・持ち出し
ファイルをコピーしたコピー元・先、内容、関連操作、転送記録等特定人物による操作や不正な目的
USB等へ持ち出した外部媒体の内容と転送・操作記録等USB接続やファイル参照だけでは確定しない
ファイルを削除したごみ箱、ファイル管理情報、変更記録等削除した人物や証拠隠滅の意図

例えば、顧客リストへのショートカットが見つかっても、それだけで「顧客リストをUSBへコピーした」とは言えません。

また、ファイル名と容量が同じでも、中身まで同一とは限りません。ファイル本体が確保できる場合は内容やハッシュ値も比較します。ただし、内容が一致しても、コピーの方向・日時・操作者は別に検討する必要があります。

ファイルを「開いた」痕跡と「コピーした」痕跡は異なります。コピー元・コピー先、MFT・USN、USB等を使った確認方法は、Windowsでファイルコピー履歴は分かる？USBへのコピー痕跡と調査方法で詳しく解説しています。

LNKからファイル名・保存場所は分かる？

LNKは、ファイルやフォルダー等への参照情報を保存するWindowsのショートカットファイルです。

残っている情報によっては、次のような点を調べられます。

  • 参照先のファイル名やパス。
  • PC内、外部媒体、ネットワーク共有等の保存場所。
  • 対象ボリュームに関する情報。
  • 参照先ファイルに関する作成・アクセス・更新時刻。

MicrosoftのLNK仕様には、参照先のパス、ボリューム、ネットワーク上の場所等を表す構造が定義されています。ただし、各情報は条件付きで保存されるため、すべてのLNKに全項目が入っているわけではありません。Microsoft：LinkInfo仕様

LNKがあるだけで「本人が手動で開いた」とは言えない

LNKを評価するときは、どこにあり、何を参照し、どの仕組みで作られたのかを確認します。

デスクトップに手動で作られたショートカットと、Recent内にある参照痕跡は、同じ意味ではありません。

MicrosoftのSHAddToRecentDocsの説明では、Windowsやアプリが最近使った項目を更新する仕組みが示されています。ファイルを開く場合だけでなく、共通ダイアログによる保存・作成等でも呼び出される場合があります。

したがって、LNKの存在を、すべて一律に「文書を閲覧した記録」と読み替えることはできません。Microsoft：SHAddToRecentDocs

ファイル名だけで判断せず、参照先、生成場所、アプリ側の記録を照合する必要があります。

Jump ListsとOffice MRUでは何が分かる？

Jump Listsはアプリとの関係を確認する手掛かり

Jump Listsは、どのアプリに、どのファイル等が関連付けられていたかを確認する資料になります。

代表的な保存場所は、Recent配下の次のフォルダーです。

  • AutomaticDestinations
  • CustomDestinations

解析では、ファイルと対応するアプリ、対象パス、固定状態、取得可能な日時等を確認します。AutomaticとCustomでは構造が異なるため、同じ項目・同じ時刻情報が必ず得られるとは限りません。

画面に見える一覧だけでなく、保全した保存データを解析することで、参照先情報を詳しく確認できる場合があります。libyal：Jump lists format

Office MRUはExcel・Word等の参照履歴を調べる資料

MRUは「Most Recently Used」の略で、最近使用した項目を指します。

Windows版Officeでは、ユーザーのレジストリ内にあるFile MRUやUser MRU配下等が調査対象になる場合があります。実際にRECmdの公開解析定義でも、Officeのファイル・保存場所に関するMRUが対象として示されています。Eric Zimmerman：RECmdのユーザー活動解析定義

ただし、Officeのバージョン、サインイン状態、利用環境によって保存先や構造が異なります。特定のレジストリキーに記録がないという理由だけで、「Excelを開いていない」とは判断しません。

Officeの一覧は「そのPCだけの履歴」とは限らない

Microsoftは、最近使用したファイルの一覧がMicrosoftアカウントと同期し、複数端末で同じファイルが表示される場合があると説明しています。

そのため、画面に資料名が表示されていても、このPCで開いたのか、別端末での利用が反映されたのかを切り分ける必要があります。Microsoft：最近使った一覧に予期しないファイルが表示される場合

画面の一覧は調査の入口です。端末を特定する必要がある場合は、PC内の記録やログと照合します。

PDF・画像も同じように履歴が残る？

ファイルの種類だけでなく、どのアプリで、どの方法で扱ったかによって異なります。

PDFでも、専用アプリでローカルファイルを開く場合と、ブラウザでWeb上のPDFを表示する場合では、確認対象が変わります。

例えばPDF Studioには、最近開いたPDFの一覧を確認する機能があります。しかし、その仕様を他のPDFアプリへそのまま当てはめることはできません。Qoppa Software：PDF Studioの最近のファイル履歴

画像、テキスト、CAD、独自業務アプリについても、まず使用アプリと操作方法を確認します。

特に、次の操作は分けて考えます。

  • アプリでファイルを開いた。
  • エクスプローラーで選択・プレビューした。
  • サムネイルが表示された。
  • ブラウザ内で表示した。

同じ記録が残ると決めつけず、必要に応じて調査対象とは別の検証環境で挙動を確かめます。対象PCで再現操作をすると、調べたい履歴へ新しい記録を混ぜるおそれがあります。

「いつ開いたか」は、何の時刻かを確認する

日時が見つかっても、すぐに「この時刻に開いた」とは言えません。

時刻のある場所確認する意味注意点
元ファイルの作成・更新・アクセス日時ファイルシステムが管理する時刻閲覧専用の記録ではない
LNK内部の時刻参照先ファイルに関する時刻情報LNK自体の作成日時とは別
LNKファイル自体の時刻ショートカット自体の作成・変更等生成・更新・移動等の経緯を確認する
Jump Listsの記録内の時刻該当形式・フィールドが表す時刻内部LNKや保存ファイル自体の時刻と混同しない
Office MRUの時刻・並び順個別項目に記録された日時や利用順序レジストリキーの更新日時を全項目へ当てはめない
監査ログの時刻記録対象となったアクセス等のイベント時刻操作内容・プロセス・記録条件を確認する

MicrosoftのLNK仕様では、ヘッダー内のCreationTime、AccessTime、WriteTimeは、リンク先の対象に関する時刻として定義されています。「LNK内にあるアクセス時刻＝利用者がその文書を開いた瞬間」ではありません。Microsoft：ShellLinkHeader仕様

また、ファイルシステムによって時刻の精度や更新方法が異なります。Microsoftは、NTFSの最終アクセス時刻の更新には遅延があり得ることなどを説明しています。Microsoft：File Times

時系列に整理するときは、元の値、表示に使ったタイムゾーン、対象PCの時計のずれも確認します。調査報告では、「閲覧日時」とだけ書かず、**「どの記録の、どの時刻を根拠にしたか」**を残すことが重要です。

「誰が開いたか」「内容を読んだか」は分かる？

Windowsユーザーと実際の操作者は別に確認する

特定ユーザーのプロファイル内に痕跡があることは、そのユーザー環境との関連を考える手掛かりです。ただし、それだけで本人による操作と確定するわけではありません。

次の状況がないか確認します。

  • 共用PC・共用アカウントだった。
  • サインインしたまま別の人が使用できた。
  • 遠隔操作や管理作業が行われていた。
  • プロファイルの移行・復元が行われていた。
  • 同じアカウントを別端末でも使っていた。

操作者を絞り込むには、端末の割当、ログオン、遠隔接続、利用可能だった時間帯等との整合を確認します。

開いた痕跡は、内容の認識まで示さない

ファイルがアプリで扱われたことを裏付けられても、通常の参照痕跡だけでは、次のことまでは分からない場合があります。

  • 何ページ・何行まで読んだか。
  • 内容を理解したか。
  • 何秒間表示していたか。
  • 印刷したか。
  • 内容を別の場所へコピーしたか。

ファイルの利用を裏付ける記録と、人が内容を認識したことを裏付ける証拠は分けて評価します。

USB上のファイルを開いたことは分かる？

USB内のファイルをPCで扱った場合、PC側にLNK、Jump Lists、アプリ履歴等が残り、外部媒体上のファイルへの参照を確認できることがあります。

この場合は、次の情報を照合します。

  1. 参照先のファイルパス。
  2. 当時のドライブレターと接続媒体の対応。
  3. ボリューム情報。
  4. USB接続に関する記録。
  5. 同時間帯のアプリ・ファイル操作。

E:\資料\顧客一覧.xlsxというパスだけでは、EドライブがそのUSBだったと確定できません。また、ボリュームシリアル番号と、USB機器の製造番号等は別の情報です。識別子の種類を確認して対応付けます。

そして、USB上のファイルを開いたことと、PCからUSBへコピーしたことは別です。 USBに以前から保存されていた資料を開いた可能性も検討します。

USB利用と持ち出しの調査については、USBメモリの接続履歴とファイルコピーの痕跡で詳しく解説しています。

当社の公開事例で照合した記録

デジタルフォレンジックPROが公開している退職予定者のPC調査事例では、5台のUSBメモリの接続履歴が確認され、そのうち1台は4日間にわたって毎日接続されていました。

接続時間帯の記録として、業務資料の参照、圧縮ファイルの作成、USB上の同名・同容量ファイルの参照、PC内の圧縮ファイルの削除を整理しています。

掲載事例では、社内保存先とUSB上の参照の順序等を踏まえ、コピーされた可能性が高いと評価しています。着目したのはUSB接続の有無だけでなく、対象ファイル・保存場所・操作の前後関係です。当社の公開調査事例

ただし、この評価を「同名・同容量なら必ずコピー」と一般化することはできません。別案件では、その案件に残る記録と代替の説明を改めて検討します。

複数の記録を時系列で照合すると、何が言える？

以下は説明用の架空例であり、当社の実案件ではありません。

同じ日の記録を日本時間にそろえ、次の情報が得られたとします。デバイス記録の意味と、当時のEドライブが対象USBであったことは別途確認できている前提です。

時刻確認できた記録
09:41対象USBの接続を示すデバイス記録
09:43E:\資料\顧客一覧.xlsxを指すRecent内LNKの作成時刻
09:44Excelに対応するJump List内の同パス項目に、記録更新に関係する時刻
09:50対象USBの取り外しを示すデバイス記録

この組み合わせは、USBが利用可能だった時間帯に、当該ユーザー環境でUSB上のファイルが参照されたという解釈を補強します。

一方、これだけでは次のことは確定しません。

  • PCからUSBへそのファイルをコピーした。
  • 09:43が正確な閲覧開始時刻だった。
  • 09:43から09:50まで読み続けていた。
  • 端末の割当先本人が操作した。

さらに、LNKとJump Listsが同じ処理に伴って更新された可能性も考えます。二つの記録があるから、独立した二回の閲覧が証明されたとは限りません。

コピーを検証するなら、PC側のファイル、USB側の内容、ファイル作成・変更記録、取得できる転送ログ等へ確認を進めます。人物を検証するなら、ログオンや遠隔接続等との照合が必要です。

ネットワーク共有・OneDrive上のファイルは？

ファイルサーバーやNAS上の資料では、ネットワークパスや、割り当てられたドライブを指す参照情報が手掛かりになります。

OneDrive、SharePoint、Google Drive for desktop等では、次を分けて確認します。

  • PC内の同期先・キャッシュをアプリで扱った。
  • クラウド上のファイルをデスクトップアプリで扱った。
  • ブラウザだけで表示した。
  • 別端末の利用履歴が一覧へ反映された。

OneDriveのオンライン専用ファイルは、開いたときに端末へダウンロードされる仕組みがあります。そのため、PC内にデータが生じたことだけを、利用者が意図的にコピーした証拠として扱わないことが大切です。Microsoft：OneDriveのファイル状態

必要に応じて、端末側の参照痕跡と、サーバー・クラウド側で取得可能な操作ログを照合します。ファイル名だけでなく、保存場所、アカウント、対象ファイルの識別情報も確認します。

イベントビューアーを開けば、過去の全履歴が出るわけではない

Windowsのファイルアクセス監査は、対象操作を記録するための監査設定と、ログの残存が前提です。今から設定しても、記録されていなかった過去の操作が遡って追加されるわけではありません。

例えばイベント4663は、対象への特定のアクセス権が実際に使用されたことを示します。要求を示す4656とは意味が異なり、4663にも必要な監査条件があります。

確認する際はイベント番号だけでなく、対象パス、ユーザー、プロセス、アクセス内容を読みます。ReadDataとReadAttributesも区別し、読み取りの記録があっても、人が画面で内容を読んだと直結させません。Microsoft：イベント4663

削除済みファイルでも、過去の参照痕跡は残る？

元ファイルがなくなっていても、参照情報が別に残っている場合があります。

LNK、Jump Lists、Office等の履歴にパスが残っていれば、過去のファイル名や保存場所を検討する手掛かりになります。ただし、元ファイルの内容を復元できることとは別です。

また、NTFSの$MFTにはファイルに関する管理情報があり、削除後のエントリは再利用可能になります。残存状態によっては、過去のファイルの存在を調べる資料になります。Microsoft：Master File Table

$UsnJrnl等の変更ジャーナルは、追加・削除・変更に関する記録です。参照痕跡の前後にファイルが作られた、名前が変わった、削除されたといった経緯の検証に役立つ場合があります。Microsoft：Change Journals

MFTやUSNの記録を、そのまま「人が文書を読んだ履歴」と扱うことはできません。 参照記録と、ファイルの存在・変更に関する記録を組み合わせて評価します。

履歴は何日前まで残る？見つからなければ開いていない？

すべての履歴に共通する「何日間」という保存期間はありません。

一覧の件数や設定、アプリの仕様、利用頻度、ユーザーによる消去、PCの再利用等によって、確認できる範囲が変わります。画面に表示できる件数と、解析対象として残る情報の範囲も同じとは限りません。

痕跡が見つからない場合は、次を確認します。

  • そのアプリ・操作方法が、確認対象の履歴を残すものだったか。
  • 別のWindowsユーザーや別端末を使っていなかったか。
  • 履歴の保存・表示が無効になっていなかったか。
  • 古い項目の入れ替わりや削除がなかったか。
  • 更新・移行・プロファイル再作成・上書き等の影響がなかったか。
  • 別の参照記録やサーバー側ログが残っていないか。

調査結果は、まず**「今回取得・確認した記録の範囲では、該当する痕跡が見つからなかった」**と整理します。それを根拠なく「一度も開いていない」に置き換えないことが重要です。

自社確認で足りる場合と、専門調査を検討する目安

状況適した進め方
自分が最近使った資料を探したいエクスプローラーやアプリの一覧を確認
権限のある担当者が、保存済みログで利用状況を確認したいIT担当者が記録条件と対象期間を確認
複数ユーザー・共有PC・クラウド利用が関係するアカウント・端末・保存場所を整理して照合
元ファイルや履歴が削除されている残存痕跡の保全とフォレンジック解析を検討
USB上の参照やコピーの有無を検証したいPC・媒体・関連ログの時系列照合を検討
退職者PCや、懲戒・紛争で使う資料を扱う調査範囲・権限・保全方法を先に決める

単に資料を探すだけなら、最初から専門調査が必要とは限りません。

一方、「この人が、このPCで、このファイルを、この日時に開いた」と説明する必要がある場合は、一覧を見るだけでは足りないことがあります。

調査前に保存しておきたい情報

初動では、可能な範囲で次を整理してください。

  • 対象PCの管理番号と利用者。
  • 調べたいファイル名・保存場所・対象期間。
  • 疑いに気付いた経緯。
  • すでに行った確認操作と、その日時・担当者。
  • 対象USBやサーバー・クラウドの所在。
  • PCが起動中か、サインイン中か等の状態。

画面がすでに表示されているなら、確認時点の写真等も補助資料になります。ただし、写真だけではLNKやログの内部情報を保存できません。

初期化、再配布、履歴削除、クリーンアップ、復元ソフトの導入、対象資料の開き直しは、保全方針が決まるまで控えます。PCを一度使っただけですべての履歴が消えるわけではありませんが、記録が更新され、過去の操作と確認担当者の操作を区別しにくくなる場合があります。

起動中のPCを一律に強制終了することも避け、暗号化や取得したい情報を踏まえて担当者と判断します。

デジタルフォレンジックPROでは、後から調査できるようにデータを保存する証拠保全サービスも提供しています。調査の必要性がまだ決まっていない場合は、保全と解析を分けて検討できます。

まとめ

Windowsでは、最近使ったファイル、LNK、Jump Lists、Office等の履歴から、特定ファイルが参照・利用された手掛かりを確認できる場合があります。

ただし、判断では次の区別が欠かせません。

  • ファイルの存在と、参照・閲覧は別。
  • 参照と、コピー・持ち出しは別。
  • 記録された時刻と、実際の閲覧開始時刻は別。
  • Windowsアカウントと、実際の操作者は別。
  • 痕跡がないことと、一度も開いていないことは別。

自分の資料を探すなら、通常の履歴画面から確認できます。退職者PC、削除された履歴、USB利用、紛争に関係する調査では、先に保全方法を決め、ファイル・媒体・アカウント・日時を複数の記録で照合することが重要です。

参考資料

技術資料の確認日：2026年9月9日。

Microsoft公式資料

開発者・製品提供元の技術資料

株式会社赤井事務所の公開資料

カテゴリー
Windows・PCフォレンジック
前の記事
MFT・USNジャーナルとは？Windowsのファイル履歴を解析
2026年9月9日
次の記事
ブラウザ履歴はフォレンジックでどこまで分かる？Chrome・Edgeを調査
2026年9月9日