退職予定者や退職者が使用していたパソコンから、見覚えのないUSBメモリの接続履歴や大量のファイル操作が見つかると、「社内データを持ち出されたのではないか」と不安になることがあります。特に顧客情報、設計データ、営業資料などの重要情報を扱っていた社員の場合、退職前後の操作を確認することは企業の情報管理上重要です。

ただし、USBが接続されていたという事実だけでは、情報持ち出しがあったとは断定できません。業務上の利用だった可能性もあるため、USBの識別情報、ファイル操作履歴、共有フォルダへのアクセス、クラウドやメールの送信履歴などを組み合わせて確認する必要があります。一方で、対象パソコンを直接操作したり履歴を削除したりすると、証拠が失われる恐れがあります。

また、退職者のパソコンを調査する場合は、技術的に確認できる範囲だけでなく、就業規則や情報セキュリティ規程、端末の所有関係、調査目的などを整理してから進めることが重要です。

そこで本記事では、退職者によるUSB経由の情報持ち出しが疑われる場合に確認したいUSB接続履歴やファイル操作の痕跡、Windowsで確認できる記録、証拠保全の注意点、フォレンジック調査で確認できる内容までわかりやすく解説します。

退職者によるUSBでの情報持ち出しが疑われる主なサイン

退職者による情報持ち出しは、USBの接続履歴だけで判断できるものではありません。退職前後のファイル操作やアクセス状況など、複数の異常が重なっていないか確認することが重要です。

退職前にUSB接続が急増している

それまで外部媒体をほとんど利用していなかった社員のパソコンで、退職日が近づくにつれてUSBメモリや外付けストレージの接続が増えている場合は確認が必要です。

Windowsには、過去に接続されたUSBストレージの識別情報が残っていることがあります。管理している会社貸与USBと照合すれば、未承認の媒体が接続されていなかったかを確認する起点になります。

ただし、USB接続履歴だけでは、実際にファイルがコピーされたかまでは分かりません。接続時刻とファイル操作の時間帯を照らし合わせる必要があります。

機密フォルダへのアクセスや大量コピーが増えている

退職前に顧客データ、営業資料、技術情報などへ大量にアクセスしている場合も注意が必要です。

たとえば、普段は一部のファイルしか利用しない社員が、短期間に複数のフォルダを横断して大量のファイルを開いていた場合は、引き継ぎなど正当な業務かどうかを確認します。

USB接続時刻と大量アクセスの時間帯が近い場合は、持ち出しの可能性を確認する重要な手がかりになります。

圧縮・暗号化・削除などの操作が集中している

大量のファイルをZIPなどへまとめたり、暗号化したりした後にUSBを接続している場合は、その前後の操作を詳しく確認する必要があります。

また、コピー後にファイルや履歴を削除している場合もあります。削除そのものが不正の証明になるわけではありませんが、他の操作と組み合わせて時系列を整理することが重要です。

個人クラウドや私用メールの利用が増えている

USBを利用していなくても、個人向けクラウドストレージ、Webメール、ファイル転送サービスなどから情報が社外へ送られる場合があります。

そのため、USBだけに調査対象を限定せず、ブラウザ履歴、クラウドアクセス、メール送信履歴なども確認することが重要です。

通常と異なる時間帯に操作している

深夜や休日など、通常は業務を行わない時間帯に機密情報へアクセスしている場合も確認対象になります。

退職前という事情だけで不正と判断するのではなく、普段の勤務時間、業務内容、アクセス先、ファイル操作などを組み合わせて評価する必要があります。

不審なUSB接続や大量コピーが見つかった場合でも、すぐに情報持ち出しと断定するのは適切ではありません。一方で、調査前に対象パソコンを初期化したり履歴を消したりすると、立証できない恐れがあります。事実確認が必要な場合は、端末の状態をできるだけ維持したまま記録を確認することが大切です。

退職者のUSB持ち出しを調査するときに最初に確認すること

情報持ち出しの疑いがある場合は、いきなり対象パソコンの中を探すのではなく、調査対象と証拠を整理してから確認を進めます。

対象PC・USB・外部媒体を回収して保全する

最初に、退職者が使用していた会社貸与パソコン、会社管理のUSBメモリ、外付けストレージ、スマートフォンなどを確認します。

対象パソコンを通常業務で使い続けると、ログや一時ファイルが上書きされる可能性があります。また、自己判断で初期化やデータ削除を行うと、調査に必要な痕跡が失われる場合があります。

法的対応や社内処分まで想定する場合は、必要に応じてパソコンの複製イメージを作成し、元のデータではなく複製側を調査する方法が適しています。

対象期間と重要データを整理する

「退職者のパソコンを全部調べる」という進め方ではなく、いつからいつまで、どの情報の持ち出しを確認したいのかを整理します。

たとえば、退職申告日から最終出社日まで、または引き継ぎ開始時点から退職日までなど、確認したい期間を設定します。

あわせて、顧客情報、営業資料、製品設計、ソースコードなど、持ち出された可能性のあるデータを具体的に整理しておくと調査しやすくなります。

アカウントやクラウドの監査ログを保全する

パソコンだけではなく、ADやMicrosoft Entra ID、VPN、ファイルサーバ、SaaS、クラウドストレージなどに残る監査ログも重要です。

クラウドサービスのログには保存期間が設定されている場合があります。時間が経つと確認できなくなることもあるため、必要な記録を早い段階で保全します。

人事・法務・情報システムで調査範囲をそろえる

退職者の端末調査では、情報システム部門だけで判断せず、人事や法務と目的や範囲を共有しておくことが重要です。

会社貸与端末であっても、どこまで調査するかは就業規則、端末利用規程、プライバシーへの配慮などによって異なります。

調査目的を「USBを挿していたか」だけではなく、「会社のどのデータが社外へ持ち出された可能性があるか」のように明確にすると、必要以上に調査範囲を広げずに済みます。

WindowsでUSB接続履歴を確認する方法

Windowsには、過去に接続されたUSBストレージに関する情報が残っていることがあります。退職者PCで未承認のUSBが利用されていなかったか確認する際の手がかりになります。

USBSTORから接続されたUSBを確認する

Windowsでは、次のレジストリに過去に接続されたUSBストレージの識別情報が残っていることがあります。

HKLM\SYSTEM\CurrentControlSet\Enum\USBSTOR

USBSTORには、USBストレージの製品情報や識別情報などが記録される場合があります。会社で管理しているUSBの一覧と比較することで、未承認のUSBが接続されていなかったか確認する起点になります。

ただし、レジストリの情報だけで「USBにどのファイルをコピーしたか」を判断することはできません。

デバイスIDやシリアル番号を会社管理媒体と照合する

会社貸与USBを管理している場合は、USBのデバイス情報やシリアル番号とパソコン側に残る接続痕跡を照合します。

会社で把握していないデバイスが確認された場合は、そのUSBが接続された時期と、同じ時間帯にどのようなファイル操作が行われたのかを確認します。

未登録のUSBが存在すること自体は持ち出しの証明ではないため、他の記録と組み合わせることが必要です。

USB接続履歴とファイル操作を時系列で突合する

情報持ち出しを確認する際に重要なのは、「USBを接続した記録」と「ファイルを扱った記録」を時系列で照らし合わせることです。

たとえば、USBが接続された直後に機密フォルダへ連続してアクセスしている場合や、大量のファイルを圧縮した後にUSBを接続している場合は、詳しく確認する必要があります。

EDR、ファイルサーバ監査、DLP、OSイベントなどのログが残っている場合は、それらも組み合わせて評価します。

USB接続履歴だけでは情報持ち出しを断定できない

退職者PCから未承認USBの接続履歴が見つかっても、その事実だけで情報持ち出しがあったとは判断できません。調査では、複数のデジタル記録を組み合わせて事実関係を確認する必要があります。

ファイル操作・大量コピーの履歴

USB接続と同じ時間帯に、どのようなファイルを開いたり移動したりしていたのかを確認します。

特に、退職者の通常業務では必要のないフォルダへ連続アクセスしている場合や、大量のファイルをまとめて扱っている場合は確認が必要です。

共有フォルダ・ファイルサーバのアクセスログ

重要情報がファイルサーバやNASに保存されている場合は、対象者がどのフォルダやデータへアクセスしていたかを確認します。

USB接続前後に大量アクセスが行われている場合は、端末側の操作記録と合わせて時系列を整理します。

クラウド・Webアップロード履歴

情報持ち出しはUSBだけで行われるとは限りません。Google Drive、OneDriveなどのクラウドやWebサービスを利用して外部へ送信することも可能です。

ブラウザ利用履歴やクラウド監査ログなどを確認し、個人用サービスへのアップロードが行われていないかを確認します。

メール送信・外部共有履歴

私用メールや外部メールアドレスへファイルを添付して送ることも情報持ち出しの経路になります。

退職直前に外部宛ての添付メールや外部共有が急増している場合は、送信先や対象ファイルを確認する必要があります。

このように、退職者による情報持ち出しを確認する場合は、USBだけを追うのではなく、端末、ファイルサーバ、クラウド、メールを横断して確認することが重要です。自己判断でログを削除したり対象端末を操作し続けたりすると、痕跡が消える恐れがあります。

退職者のUSB持ち出しをフォレンジック調査で確認する方法

USBの接続履歴や大量アクセスが確認できても、実際にどのデータが持ち出されたのか、削除された記録があるのかまで社内だけで確認するのが難しいことがあります。そのような場合に利用されるのがフォレンジック調査です。

USB接続やファイル操作の痕跡を時系列で解析する

退職者がどのような操作をしていたのか正確に確かめるには、複数のデジタル記録を客観的に確認する必要があります。その手法として有効なのがフォレンジック調査です。

フォレンジック調査では、対象パソコンや各種ログを保全し、USB接続履歴、ファイル操作、共有フォルダへのアクセスなどを時系列で解析します。

これにより、「USBを接続した」という単独の記録ではなく、その前後にどのようなファイル操作が行われていたのかを整理できます。

削除された操作履歴やデータを確認する

情報持ち出し後に履歴やファイルが削除されている場合、通常の画面操作だけでは確認できないことがあります。

フォレンジック調査では、削除されたファイルや端末内に残された各種痕跡を確認し、持ち出しが疑われる時期の操作を整理します。

ただし、削除されたデータが必ず復元できるわけではありません。端末を使い続けるほどデータが上書きされる可能性があるため、早めの保全が重要です。

社内処分や法的対応を見据えて証拠を保全する

営業秘密や顧客情報の持ち出しが疑われる場合は、懲戒処分、損害賠償請求などを検討するケースがあります。

その場合、単にUSB履歴の画面を保存するだけではなく、データが調査前から変更されていないことを説明できるように保全する必要があります。

特に退職者の社内不正調査では、調査権限や就業規則、調査範囲を整理したうえで進めることが重要です。法的対応まで見据える場合は、法務担当者や弁護士などとも連携しながら適切な手続きを確認します。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 近年はデジタル技術の急拡大により、

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

会社や自分のパソコンやスマホがハッキングされたかもしれないと気付いたとき、どうやって調査すればよいのでしょうか。 「パソコンが遠隔操作され、詐欺にあったかもしれない…」

まとめ

退職者によるUSB経由の情報持ち出しが疑われる場合は、まず対象PCや外部媒体、アカウント、各種ログを保全し、不要な操作によって痕跡を変えないことが重要です。

WindowsではUSBSTORなどから過去に接続されたUSBストレージの識別情報を確認できる場合があります。ただし、USB接続履歴だけではファイルの持ち出しを断定できないため、ファイル操作、共有フォルダ、クラウド、メールなどの記録を時系列で組み合わせて評価する必要があります。

また、削除された履歴の確認や、社内処分・法的対応を想定した証拠保全が必要な場合は、対象端末を直接操作し続けず、フォレンジック調査を検討する方法があります。技術的な確認だけでなく、就業規則や調査権限にも配慮して進めることが重要です。