Windows PCを利用していると、「重要なファイルが見当たらない」「誰かが別のフォルダへ移動したのではないか」「USBや別ドライブへ持ち出されていないか」と確認したくなることがあります。とくに業務データや顧客情報が対象の場合、単にファイルを見つけるだけでなく、いつ・誰が・どこへ移動したのかを確認したいケースもあるでしょう。

しかし、Windowsには通常、すべてのファイルについて「移動元→移動先」を自動的に記録し続ける専用履歴はありません。事前にファイルシステム監査を設定していればイベントログを確認できますが、設定していなかった場合は、最近使用した項目、クラウドのアクティビティ、USB接続履歴など複数の痕跡から状況を整理する必要があります。

また、情報持ち出しが疑われる状況で、対象PCのログを削除したり初期化したりすると、ファイル操作や外部デバイス利用を確認するための痕跡が失われるおそれがあります。社内不正や退職者によるデータ持ち出しを確認する場合は、現在の状態を保ちながら調査を進めることが重要です。

そこで本記事では、Windowsで移動したファイルを探す方法、イベントログからファイル操作を確認する方法、今後ファイル移動履歴を残す監査設定、USBやクラウドへの持ち出しをフォレンジック調査で確認する方法までを解説します。

Windowsで移動したファイルを確認する方法

事前に監査設定をしていなかった場合、Windowsだけで過去の移動先を完全に特定することは困難です。ただし、ファイル検索や最近使用した項目、クラウドの履歴などから所在を確認できることがあります。

ファイル名や更新日からドライブ全体を検索する

まずエクスプローラーを利用して、PC内に対象ファイルが残っていないか確認します。

ファイル名が分かる場合はファイル名で検索し、名前が変更されている可能性がある場合は拡張子や更新日などを条件にして検索します。

たとえばExcelファイルであれば「.xlsx」、PDFであれば「.pdf」など、ファイル形式を絞り込むことで候補を見つけやすくなります。

ごみ箱を確認する

移動したと思っていたファイルが、実際には削除されている場合もあります。

ごみ箱を開き、対象ファイルや似た名前のファイルがないか確認してください。削除日時が表示される場合は、異常に気づいた時刻と照合します。

最近使用した項目を確認する

エクスプローラーの「ホーム」やクイックアクセスでは、最近開いたファイルが表示されることがあります。

ここから対象ファイルへアクセスできれば、現在の保存場所を確認できる場合があります。

ただし、最近使用した項目は完全なファイル操作ログではなく、履歴が削除されていたり表示対象から外れていたりすることもあります。

OneDriveなどクラウドの履歴を確認する

OneDrive、SharePoint、Google Driveなどでファイルを管理している場合は、サービス側のアクティビティや履歴も確認します。

ローカルWindowsとは異なり、クラウドサービスではファイルの移動、削除、共有などの操作履歴が記録される場合があります。

対象ファイルのアクティビティ、バージョン履歴、ごみ箱などを確認し、いつ変更されたかを整理してください。

バックアップや以前のバージョンを確認する

Windowsのファイル履歴、バックアップ、NASのスナップショットなどが存在する場合は、過去の状態と現在の状態を比較できます。

以前の保存場所にファイルが存在していたことを確認できれば、移動が行われた時期を絞り込む手がかりになります。

これらの方法で確認できるのは、主に現在の保存場所や一部の操作履歴です。Windowsでは監査を事前設定していなければ、過去のすべてのファイル移動を「移動元→移動先」と一覧表示することはできません。

Windowsのイベントログからファイル操作を確認する方法

事前にNTFSの監査設定が有効になっていた場合は、Windowsのセキュリティログからファイルへの操作を確認できる場合があります。

イベントビューアーを開く

Windowsのイベントログを確認するには、「eventvwr.msc」を実行してイベントビューアーを開きます。

イベントID 4663を確認する

イベントID 4663は、監査対象となっているファイルやフォルダに対して、特定のアクセスが実行された場合に記録されるイベントです。

イベント内のObject Name、Subject、Accessesなどを確認することで、対象ファイル、操作したユーザー、実行されたアクセス内容を確認できます。

ただし、4663はすべてのファイル操作で自動的に記録されるわけではありません。監査ポリシーと対象フォルダのSACLが事前に設定されている必要があります。

イベントID 4656・4660も確認する

ファイル操作を調べる際は、4663だけでなく、オブジェクトへのハンドル要求を示す4656や、オブジェクト削除に関連する4660なども確認します。

複数のイベントを組み合わせることで、単純な閲覧なのか、削除や移動に関係する操作なのかを判断しやすくなります。

Object Nameや実行ユーザーを確認する

イベントログでは、対象となったファイルパスや実行ユーザーを確認します。

調査時は主に以下の情報を確認します。

前後のイベントを時系列で照合する

ファイルの移動では、一つのイベントだけを見ても移動先まで明確に分からないことがあります。

同一時間帯に発生したファイル作成、削除、アクセスなどの記録を照合し、元ファイルと移動先候補を時系列で確認します。

監査ログがない場合はイベントビューアーだけでは追跡できない

対象フォルダに監査が設定されていなかった場合、過去にさかのぼって4663などを生成することはできません。

この場合は、ファイルシステム、USB接続履歴、クラウド、ブラウザ、最近使用したファイルなど、別の痕跡を組み合わせて調査します。

ファイル移動はどのように記録されるのか

Windows上の「移動」は、移動先によって内部的な処理が異なります。そのため、ログ上で必ず「ファイルをAからBへ移動」と表示されるわけではありません。

同一ドライブ内では名前・親フォルダ変更として扱われる場合がある

同じNTFSボリューム内でファイルを別フォルダへ移動した場合、実データを丸ごとコピーするのではなく、ファイルシステム上の管理情報が変更される形で処理されることがあります。

そのため、イベントログだけを見ても「どのフォルダからどこへ移動したか」が一つのイベントとして明示されない場合があります。

別ドライブではコピーと削除として処理される場合がある

CドライブからDドライブ、あるいは外付けストレージへファイルを移動すると、実質的に移動先へのコピーと元ファイルの削除として処理されることがあります。

この場合は、移動先でのファイル生成と元の保存場所での削除を時系列で照合します。

USBへの移動では複数の痕跡を照合する必要がある

USBメモリへのデータ持ち出しが疑われる場合、ファイル操作だけでなく、USBデバイスの接続履歴も重要です。

対象ファイルへアクセスした時刻とUSBが接続された時刻が近い場合は、コピーとの関連性を詳しく確認します。

ただし、USBを接続したという事実だけで、特定ファイルをコピーしたと断定することはできません。複数の痕跡を組み合わせる必要があります。

クラウド同期ではローカルログだけでは不十分な場合がある

OneDriveなどの同期フォルダへファイルが移された場合、その後クラウドへ同期されることがあります。

ローカルPC上の痕跡だけでなく、クラウド側の監査ログやアクティビティも確認することで、外部への同期や共有の状況を把握しやすくなります。

ファイル移動の確認は複数の記録を組み合わせる

Windowsのファイル移動を調べる際は、一種類のイベントだけで判断するのではなく、ファイルシステム、イベントログ、USB、クラウド、アプリ利用などを時系列で照合することが重要です。

今後Windowsでファイル移動・削除の履歴を残す方法

重要ファイルについて継続的に操作履歴を残したい場合は、事前にWindowsの監査機能を設定します。

ファイルシステム監査を有効にする

Windows ProやEnterpriseなどでは、ローカルセキュリティポリシーやグループポリシーからファイルシステム監査を有効化できます。

「詳細監査ポリシー」からオブジェクトアクセスに関する監査を設定します。

監視するフォルダに監査設定を追加する

監査ポリシーを有効にした後、対象となるフォルダ側にも監査エントリを設定します。

必要な操作だけを監査する

すべての読み取り・書き込みを記録すると、セキュリティログが大量に生成されます。

重要フォルダについて、削除、書き込み、属性変更など、調査で必要になる操作に対象を絞ることが実務的です。

セキュリティログを定期的に退避する

監査を有効にしても、ログが上書きされれば過去の操作を確認できなくなる可能性があります。

重要なサーバーや端末では、SIEMやログ管理サーバーなどへセキュリティログを転送・保管する方法も検討してください。

重要データに対象を絞って運用する

全ドライブ・全ユーザー・全操作を監査すると、大量のログが生成され、確認が困難になります。

顧客情報、設計資料、営業秘密など、持ち出しを監視したい重要フォルダを特定し、対象を絞って監査することが重要です。

監査設定は「ポリシーを有効にすること」と「対象フォルダへ監査エントリを設定すること」の両方が必要です。

ファイルの持ち出しが疑われる時に確認するポイント

会社PCから重要ファイルが移動・消失している場合は、単なる整理や誤操作だけでなく、USBやクラウドへの情報持ち出しも確認対象になります。

対象ファイルのアクセス・更新履歴

対象ファイルが最後に更新された時刻や、最近開かれた痕跡を確認します。

サーバーやクラウド上で管理している場合は、アクセスログやダウンロード履歴も確認してください。

USBメモリなど外部デバイスの接続履歴

PCにどのUSBストレージが接続されていたかを確認します。

ファイルが消えた時間帯や退職前などに外部ストレージが接続されていれば、ファイル操作との関連を調べます。

OneDriveや私用クラウドへの操作履歴

OneDrive、Google Drive、Dropboxなどへのファイルアップロードや同期がなかったかを確認します。

会社が管理するMicrosoft 365などでは、監査ログから操作を確認できる場合があります。

メールやファイル転送サービスの利用

対象ファイルがメールへ添付されたり、ファイル転送サービスへアップロードされたりしていないかを確認します。

ブラウザ履歴、メール送信履歴、プロキシログなどが残っている場合は、対象時刻と照合します。

退職・異動前後の大量ファイル操作

退職や異動を控えた従業員による情報持ち出しでは、短期間に大量のファイルへアクセスするなど、通常とは異なる操作が見られる場合があります。

対象ファイルだけではなく、同じ時間帯にどのファイルやフォルダが操作されていたかを確認することが重要です。

ファイルの移動先や持ち出し経路が分からない場合はフォレンジック調査会社に相談する

Windowsの監査ログが設定されていなかった場合でも、PC内にはファイル操作、USB接続、最近使用した項目、ブラウザ、クラウド利用など複数の痕跡が残っている可能性があります。

フォレンジック調査では、こうした記録を横断的に解析し、対象ファイルがいつ操作されたのか、外部ストレージやクラウドが利用されたのかなどを時系列で整理します。

対象PCを初期化したり、Windowsログや最近使ったファイルの履歴を削除したりすると、ファイル持ち出しを確認するための重要な証拠が失われるおそれがあります。社内不正や法的対応を想定している場合は、現在の状態を保ったまま専門会社へ相談することが重要です。

Windowsのファイル操作をフォレンジック調査で確認する方法

ファイルの移動履歴が標準のイベントログだけでは分からない場合、PCに残る複数のデジタル痕跡を解析することで操作状況を確認できる場合があります。

ファイルシステム上の操作痕跡を確認する

ファイルの作成・更新・削除などに関連するファイルシステム上の情報を確認し、対象ファイルの操作時期を整理します。

最近使用したファイルやアプリ履歴を確認する

Windowsやアプリケーションに残る最近使用したファイルの記録などから、対象ファイルが開かれた可能性を確認します。

USB接続履歴を確認する

USBストレージの接続時刻や機器情報を確認し、対象ファイルの操作時刻と照合します。

USB接続とファイル操作が近接している場合は、持ち出しの可能性をさらに詳しく調査します。

クラウド・ブラウザ・メール利用を確認する

ブラウザ履歴やクラウド利用、メール送信などの記録から、ファイルが外部サービスへ送信された可能性を確認します。

複数の痕跡を時系列で整理する

ファイルアクセス、USB接続、クラウド利用、メール送信などを時系列に並べ、対象ファイルがどのように扱われた可能性があるかを整理します。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

Windowsには通常、すべてのファイルについて「いつ、どこからどこへ移動したか」を自動的に記録する完全な履歴機能はありません。まずはエクスプローラー検索、ごみ箱、最近使用した項目、OneDriveなどのクラウド履歴からファイルの所在を確認します。

事前にファイルシステム監査を有効にしていた場合は、イベントビューアーのセキュリティログから、4663、4656、4660などを確認できます。ただし、同一ドライブ内の移動や別ドライブへの移動では処理方法が異なるため、一つのイベントだけで移動元と移動先を判断できない場合があります。

社内不正や情報持ち出しが疑われる場合は、Windowsログだけでなく、USB接続、クラウド利用、メール、ブラウザなど複数の痕跡を確認することが重要です。対象PCのログ削除や初期化を避け、必要に応じてフォレンジック調査でファイル操作を時系列に整理してください。