無料会員登録
Windowsパソコンの動作が急に重くなったり、見覚えのないプロセスや通信が増えたりすると、「誰かに監視されているのではないか」と不安になることがあります。特に、遠隔操作ツールやスパイウェア、不正な管理者アカウントなどが関係している場合、画面操作や認証情報、ファイルの閲覧につながる可能性があります。
ただし、CPU使用率が高い、ネットワーク通信が多い、不明なプロセスがあるといった現象だけで監視やマルウェア感染を断定することはできません。Windows Update、OneDrive、Teams、VPN、EDR、資産管理ツールなどの正規ソフトも、似たような挙動を示すことがあります。
そのため、「不審なプロセス」「自動起動」「外部通信」「異常なログオン」「遠隔操作設定」など、複数の痕跡を組み合わせて確認することが重要です。会社支給PCの場合は、正規の監視・管理ツールが導入されているケースもあるため、自己判断で停止や削除を行わないようにしてください。
そこで本記事では、Windowsが監視されている疑いのある主なサイン、タスクマネージャーや通信、ログオン履歴、リモート接続設定の確認方法、会社PCとの切り分け、明確に侵害が疑われる場合の対処、必要に応じてフォレンジック調査で確認できる内容までを解説します。
Windowsが監視されている疑いのある主なサイン
Windowsの監視や遠隔操作は、単一の症状だけでは判断できません。複数の異常が重なっているかを確認することが重要です。
見覚えのないプロセスや常駐ソフトが動いている
タスクマネージャーに自分で導入した覚えのないプロセスや、発行元不明のソフトウェアが常時動作している場合は確認が必要です。
ただし、Windowsのシステムプロセスや、会社が導入したEDR・資産管理ツールも見慣れない名称で表示されることがあります。
不審な外部通信が継続している
操作していないのに特定のプロセスが継続して外部へ通信している場合は、リモート操作や情報送信が行われていないか確認します。
一方で、OneDrive、Teams、Windows Update、セキュリティ製品なども常時通信するため、通信先と実行プロセスを組み合わせて判断することが必要です。
知らないログオン・リモート接続の履歴がある
自分がPCを利用していない時間帯にログオン履歴がある、見覚えのないRDP接続やリモート支援の痕跡がある場合は、第三者によるアクセスの可能性を確認します。
見覚えのない管理者アカウントや設定変更がある
「他のユーザー」に知らないアカウントが追加されている、管理者権限が付与されている、リモートデスクトップが意図せず有効になっている場合は注意が必要です。
セキュリティ設定が勝手に変更されている
Windows Securityが無効化される、ファイアウォールに知らない許可ルールがある、タスクマネージャーやWindows Updateが使えないなどの異常が重なる場合は、より慎重な確認が必要です。
「PCが重い」「通信量が増えた」だけではなく、不審な永続化・外部通信・ログオン・設定変更が複数一致するほど、監視や侵害の可能性は高まります。
Windowsで監視されているか確認する方法
監視や遠隔操作の可能性を確認する場合は、まずWindows標準機能から順に確認していきます。
Windows Securityでフルスキャンする
まず、Windows標準のMicrosoft Defenderを使ってマルウェアやスパイウェアの検出を試します。
「Windows セキュリティ」→「ウイルスと脅威の防止」→「スキャンのオプション」からフルスキャンを実行します。
強い感染疑いがある場合は、Microsoft Defenderオフラインスキャンも検討できます。ただし、再起動が発生するため、証拠保全が必要な案件では先に記録を残してください。
インストール済みアプリを確認する
「設定」→「アプリ」→「インストールされているアプリ」を開き、インストール日順に並べます。
特に、以下のようなソフトがないか確認します。
- 自分で導入した覚えのない遠隔操作ツール
- 「Support」「Remote」「Service」「Update」など曖昧な名称のソフト
- 発行元不明のアプリ
- 不審な日時に追加されたソフト
会社支給PCでは、EDR、VPN、資産管理、DLPなど正規ツールの可能性があるため、勝手に削除しないでください。
タスクマネージャーでプロセスを確認する
Ctrl + Shift + Escでタスクマネージャーを開きます。
見覚えのないプロセスを右クリックし、「ファイルの場所を開く」や「プロパティ」から、実行ファイルの保存場所や発行元を確認します。
特に、%AppData%、%LocalAppData%、%Temp%、Downloadsなどから、発行元不明の実行ファイルが常駐している場合は確認対象になります。
スタートアップ・自動起動を確認する
タスクマネージャーの「スタートアップ アプリ」から、Windows起動時に自動実行される項目を確認します。
より詳細に確認する場合は、Microsoft SysinternalsのAutorunsを利用することで、ログオン、サービス、タスクスケジューラ、ドライバ、WMIなどの自動起動ポイントを横断的に確認できます。
不審な項目を見つけても、すぐ削除するのではなく、名称、ファイルパス、発行元、スクリーンショットなどを記録しておくと後の調査に役立ちます。
ネットワーク通信を確認する
タスクマネージャーの「パフォーマンス」からリソースモニターを開き、「ネットワーク」で通信しているプロセスや接続先を確認します。
身元不明の実行ファイルが、継続的に見覚えのない外部IPやドメインへ通信している場合は、詳しい確認が必要です。
- Microsoft Defenderでフルスキャンを実行します。
- 最近インストールされたアプリを確認します。
- タスクマネージャーで不審プロセスを確認します。
- スタートアップや自動起動設定を確認します。
- ネットワーク通信と接続先を確認します。
- 異常なログオンやリモート接続履歴を確認します。
Windowsのネットワーク通信から監視の可能性を確認する方法
遠隔操作や情報窃取が行われている場合、外部通信が手掛かりになることがあります。
リソースモニターで通信中のプロセスを確認する
タスクマネージャーから「リソース モニター」を開き、「ネットワーク」を確認します。
通信中のプロセス名、接続先アドレス、ポート、送受信量を確認してください。
netstatで接続先とPIDを確認する
管理者権限のPowerShellやコマンドプロンプトで、以下のようなコマンドを使って確認できます。
netstat -abnoこの結果から、通信に関連する実行ファイル、接続先IP、ポート、PIDなどを確認できます。
通信先と実行ファイルを突き合わせる
ネットワーク通信があるというだけでは不審とは限りません。
OneDrive、Teams、ブラウザ、VPN、Windows Update、EDRなどは常時通信する場合があります。
そのため、通信先だけでなく、実行ファイルのパス、署名、発行元、通信が発生した時刻を組み合わせて判断することが重要です。
Windowsのログオン履歴から第三者アクセスを確認する方法
イベントビューアーでは、Windowsへのログオン成功・失敗や特権ログオンなどの記録を確認できます。
4624：ログオン成功
イベントビューアーで「Windows ログ」→「セキュリティ」を開き、イベントID4624を確認します。
ただし、4624はWindowsの通常動作でも多数記録されるため、アカウント名、Logon Type、時刻、送信元IPなどを確認する必要があります。
4625：ログオン失敗
不審な時間帯に大量のログオン失敗がある場合、総当たりや不正ログイン試行の可能性を確認します。
4648：明示的な資格情報を使用したログオン
別の資格情報を指定してアクセスした痕跡として確認できます。
4672：特権ログオン
管理者など高い権限が付与されたログオンを確認する際の参考になります。
自分が利用していない時間帯のログオン、見覚えのないアカウント、RDPに関連するログオンなどが複数確認できる場合は、第三者アクセスの可能性を詳しく調べる必要があります。
リモートデスクトップ・遠隔操作設定を確認する
第三者による遠隔操作が疑われる場合は、Windowsのリモート設定も確認します。
リモートデスクトップが有効になっていないか確認する
「設定」→「システム」→「リモート デスクトップ」から、意図せず有効になっていないか確認します。
リモートアシスタンス設定を確認する
sysdm.cplを開き、「リモート」タブからリモートアシスタンスやリモートデスクトップ設定を確認します。
見覚えのない遠隔操作ソフトを確認する
RustDesk、AnyDesk、TeamViewerなどの正規リモートアクセスソフトが、知らない相手の指示で導入されていないか確認します。
正規ソフトでも、第三者に接続権限を渡している場合は不正利用につながる可能性があります。
見覚えのないユーザー・管理者を確認する
「設定」→「アカウント」→「他のユーザー」などから、知らないローカルアカウントや管理者権限の付与がないか確認します。
会社支給PCの監視と不正な監視を切り分ける
会社PCでは、セキュリティ管理や情報漏えい対策のために、EDR、MDM、DLP、VPN、資産管理ツールなどが導入されていることがあります。
「職場または学校にアクセスする」を確認する
「設定」→「アカウント」→「職場または学校にアクセスする」から、組織の管理下にあるか確認できます。
EDR・MDM・資産管理ツールの有無を確認する
会社の情報システム部門が導入した正規ツールは、プロセスやネットワーク通信だけを見ると監視ソフトのように見える場合があります。
社内規程や利用ポリシーを確認する
会社PCの利用状況や通信ログが記録されることについて、就業規則や情報セキュリティポリシーに記載されている場合があります。
勝手に管理ツールを停止・削除しない
正規のEDRや管理エージェントを停止すると、セキュリティ対策やインシデント調査に支障が出る可能性があります。
会社PCで不審に感じるものがある場合は、まずIT部門・CSIRTへ確認してください。
Windowsが監視・遠隔操作されている疑いが強い場合の対処法
不審な通信、未知の自動起動、異常なログオン、遠隔操作設定などが複数確認できる場合は、被害拡大を防ぎながら証拠を残します。
証拠を保存する
不審なプロセス名、PID、実行ファイルのパス、発行元、通信先、イベントログ、スクリーンショットなどを保存します。
イベントログは必要に応じて.evtx形式でエクスポートします。
ネットワークから隔離する
明確に不審な外部通信や遠隔操作が疑われる場合は、Wi-FiをオフにするかLANケーブルを抜きます。
再起動や初期化を急ぐと、メモリ上の情報や一時的な痕跡が失われる場合があります。
別の安全な端末から認証情報を変更する
監視や情報窃取が疑われるPC上で新しいパスワードを入力すると、その情報も取得される可能性があります。
信頼できる別端末から、メール、Microsoftアカウント、パスワードマネージャー、業務SSOなどを優先して保護します。
会社PCならIT・CSIRTへ連絡する
会社PCでは、自己判断でEDRや管理ツールを削除せず、社内のIT部門やCSIRTへ報告します。
必要に応じてOS再構築を検討する
個人PCで高度な侵害や情報窃取の確度が高い場合は、必要なデータを慎重にバックアップしたうえで、OSのクリーンインストールを検討します。
Windowsが監視されているか確認するときにやってはいけないこと
CPU使用率だけで監視と断定する
CPUやメモリ使用率は、Windows Updateやクラウド同期でも上がることがあります。
見慣れないプロセスを片っ端から停止する
Windowsの正常動作に必要なプロセスやセキュリティ製品を停止するおそれがあります。
会社のEDR・管理ツールを勝手に削除する
社内規程違反やセキュリティ機能停止につながる可能性があります。
証拠を残さず初期化する
不正アクセスや遠隔操作の調査に必要な痕跡が失われる可能性があります。
疑わしいPC上でパスワードを変更する
情報窃取型マルウェアや監視ツールが残っている場合、新しい認証情報まで盗まれる可能性があります。
Windowsが監視されている疑いをフォレンジック調査で確認する方法
PCが重い、通信量が多い、見慣れないプロセスがあるというだけであれば、必ずしも専門的なフォレンジック調査が必要とは限りません。
不審なプロセス・実行ファイルの正体
実行履歴、ファイル情報、デジタル署名、ハッシュ、関連プロセスなどを確認し、正規ソフトか不審プログラムかを調査します。
スタートアップ・タスク・サービスなどの永続化
不審なソフトが再起動後も動作できるよう、自動起動設定を追加していないか確認します。
リモート接続・不審ログオンの痕跡
イベントログやリモート接続履歴などから、第三者によるログオンや遠隔操作の可能性を確認します。
外部通信・情報送信の可能性
端末やネットワーク側の記録から、不審なIP・ドメインへの通信や継続的な情報送信がないかを確認します。
認証情報・ファイルが閲覧・窃取された可能性
ブラウザ保存パスワード、Cookie、業務ファイル、クラウドデータなどへ不正にアクセスされた可能性も調査対象になります。
不審な通信・ログオン・自動起動が複数確認された場合はフォレンジック調査会社に相談する
Windows UpdateやOneDrive、Teams、会社のEDRなど正規ソフトの動作であることが確認でき、未知のログオンや不審な通信もない場合は、専門調査まで必要にならないケースがあります。
一方、見覚えのない遠隔操作ソフトがある、不審な外部通信が続いている、知らないログオン履歴がある、管理者アカウントやリモート設定が勝手に変更されている場合は、監視・不正アクセスの可能性を詳しく確認した方がよいでしょう。
特に、自己判断で不審プロセスを削除したり、タスク・ログを消したり、PCを初期化したりすると、いつ侵入され、どのプログラムが動作し、どこへ通信し、何の情報にアクセスされた可能性があるのかを確認する痕跡が失われる場合があります。
不審な兆候を確認した場合、フォレンジック調査会社への相談をお勧めします。フォレンジック調査会社では、端末に残るプロセス実行履歴、スタートアップ・タスク・サービス、ログオン履歴、リモート接続設定、ネットワーク通信などを調査し、Windowsが実際に監視・遠隔操作されていた可能性や、外部へ情報が送信された可能性を確認できます。
こうした専門的な調査を通じて問題の全体像を整理できれば、PCを再構築すべきか、どのアカウントの認証情報を変更すべきか、会社や警察へどの証拠を提示すべきか判断しやすくなります。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
WindowsでCPU使用率が高い、不明なプロセスがある、ネットワーク通信が多いといった症状だけでは、監視や不正アクセスを断定できません。Windows Update、クラウド同期、EDR、VPNなど正規ソフトでも同様の動作が発生することがあります。
監視されている可能性を確認する場合は、Microsoft Defenderによるスキャン、インストール済みアプリ、タスクマネージャー、スタートアップ、通信先、イベントログ、リモートデスクトップ設定などを組み合わせて確認することが重要です。
会社支給PCの場合は、EDRやMDM、DLP、資産管理などの正規管理ツールが導入されている可能性があります。見慣れないソフトを見つけても自己判断で停止・削除せず、IT部門やCSIRTへ確認してください。
一方、不審な自動起動、未知の外部通信、見覚えのないログオン、遠隔操作設定、不明な管理者アカウントなどが複数確認された場合は、侵害の可能性が高まります。証拠を保存したうえでネットワークを隔離し、認証情報は別の安全な端末から変更してください。
また、監視や遠隔操作の有無を明確にしたい場合は、必要に応じてフォレンジック調査でプロセス、ログオン、通信、自動起動、情報アクセスの痕跡を確認し、侵入経路と被害範囲を整理することが重要です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
