不審なログイン、管理者権限の変更、身に覚えのない外部通信、メールの転送設定、サーバー上の不審ファイルなどが見つかると、すぐに原因を特定したり、怪しいファイルを削除したりしたくなるかもしれません。

しかし、不正アクセスが疑われる段階では、操作そのものが調査に必要な証拠を消してしまうことがあります。端末の再起動や初期化、ログ削除、マルウェア駆除などを先に行うと、メモリ上の情報、実行中プロセス、通信状況、攻撃者が残した設定などが失われる可能性があります。

そのため、不正アクセスの初動では「原因究明」より先に「被害拡大の阻止」と「証拠保全」を進めることが重要です。そのうえで、端末・アカウント・クラウド・ネットワークのログを時系列で確認し、侵入経路や被害範囲を特定します。

そこで本記事では、不正アクセスが疑われる場合にまず行うべき初動対応、保全すべき証拠、確認すべきログ、調査で明らかにすべき事項、フォレンジック調査会社へ相談する目安について解説します。

不正アクセスの疑いのあるサイン

身に覚えのないログインやMFA通知がある

通常利用しない時間帯、国・地域、端末、IPアドレスからのログインや、操作していないMFA承認要求がある場合は確認が必要です。

ただし、位置情報やIPだけでは不正アクセスと断定できません。VPN、クラウドサービス、携帯回線などによって表示地域がずれる場合もあるため、端末情報、時刻、認証結果、利用者の行動を突き合わせて判断します。

管理者権限やアカウント設定が変更されている

知らない管理者アカウント、特権グループへの追加、MFA方法の変更、回復用メールアドレスの変更などは重要な兆候です。

攻撃者が再侵入できるよう、別の認証方法やアカウントを追加している可能性があります。

メールの転送・受信ルールが追加されている

Microsoft 365やGoogle Workspaceなどでは、侵害されたメールアカウントに自動転送や削除ルールを設定し、メールを外部へ送信したり、セキュリティ通知を隠したりすることがあります。

端末から不審な通信やプロセスが確認される

PowerShell、mshta、rundll32などの正規機能が、通常とは異なる親プロセスや通信先と組み合わさっている場合は要調査です。

正規プロセス名だけで判断せず、実行パス、署名、親子関係、コマンドライン、通信先などを確認します。

サーバーやクラウドに不明な設定変更がある

公開ポート、IAM権限、APIキー、OAuthアプリ、Firewallルール、Webサーバー上のファイルなどに心当たりのない変更がある場合は、不正アクセスによる永続化や横展開を疑います。

不正アクセスが疑われたときにまず行うこと

疑わしい端末・システムを隔離する

侵害が疑われるPCやサーバーは、LAN、Wi-Fi、VPN、リモートアクセスなどから切り離し、攻撃者による追加操作や情報送信を止めます。

一方で、電源断や再起動は原則として急がないことが重要です。メモリ上の実行プロセス、接続中セッション、認証トークンなどの揮発性情報が失われる可能性があります。

ただし、ランサムウェアによる暗号化が進行中など、事業継続上の緊急性が極めて高い場合は、証拠保全とのバランスを考えて封じ込めを優先します。

侵害が疑われるアカウントを封じ込める

アカウント侵害が疑われる場合は、対象端末とは別の信頼できる管理端末から操作します。

優先的に確認するのは次のアカウントです。

• 特権管理者アカウント
• Microsoft 365・Google WorkspaceなどのIdP
• メールアカウント
• VPNアカウント
• クラウド管理者
• EDR・セキュリティ管理コンソール

必要に応じてセッションの失効、トークン無効化、パスワード変更、MFA再登録を行います。

証拠を保全する

変更や削除を行う前に、不審な画面、ログイン履歴、通知、IPアドレス、ファイル、プロセス、通信情報などを記録します。

可能であればログはスクリーンショットだけでなく、CSV、JSON、EVTX、syslogなどの原形式でエクスポートします。

証拠ファイルについては、取得日時、取得者、取得元、ファイル名、保存先、SHA-256などを記録しておくと、後から完全性を説明しやすくなります。

初動対応を時系列で記録する

発覚から対応までを分単位で記録します。

10:14 不審なEntra IDサインインを検知 10:19 対象PCを有線LANから切断 10:24 SOCへ連絡 10:31 サインインログをCSVで保全 10:38 対象アカウントのセッションを失効 

こうした記録は、侵害タイムラインの作成だけでなく、経営層、監査、法務、保険会社、監督当局などへの説明にも利用できます。

関係部署へエスカレーションする

個人情報、顧客情報、機密情報、決済情報などが関係する可能性がある場合は、セキュリティ部門だけでなく、法務、個人情報保護、経営層などへ早期に連携します。

不正アクセス調査で保全すべき主な証拠

端末で保全・確認すべきポイント

Windows端末

Windowsでは、SecurityログやSysmonだけでなく、プロセス実行、PowerShell、タスク、サービス、レジストリ、自動起動、ブラウザ履歴などを確認します。

代表的な確認対象には次のようなものがあります。

• Security Event Log
• PowerShell Operational Log
• Sysmon
• Prefetch
• LNKファイル
• Shimcache
• タスクスケジューラ
• サービス
• Runキー
• ブラウザ履歴・ダウンロード
• EDRプロセスツリー

サーバー

Webサーバーではアクセスログやエラーログだけでなく、アプリケーションログ、DBログ、OSログ、認証ログ、ファイルの更新日時などを突き合わせます。

Webシェルや不審なスクリプトが疑われても、すぐ削除せず、ファイルのハッシュ、作成・更新日時、所有者、アクセス履歴などを記録してから対応します。

クラウド・SaaS

Microsoft 365、Google Workspace、AWS、Google Cloudなどでは、端末の証拠だけではなく、クラウド側の監査ログが重要です。

ログの保持期間が短い場合もあるため、調査開始時点で取得・エクスポートしておく必要があります。

不正アクセス調査で確認すべきポイント

本当に不正アクセスが発生したか

アラートや不審なIPがあるだけでは、不正アクセスと断定できない場合があります。

正規ユーザーの操作、VPN、管理ツール、設定変更などと区別し、本当に第三者によるアクセスがあったのかを評価します。

初期侵入はいつ・どこから起きたか

代表的な侵入経路には、フィッシング、VPN認証情報の窃取、公開サーバーの脆弱性、盗難Cookie、OAuth悪用、リモート管理ツールなどがあります。

最初の侵入時刻と経路を特定することで、ログを遡る起点や再発防止策を決めやすくなります。

攻撃者が何を行ったか

侵入後に、実行、永続化、認証情報窃取、権限昇格、横展開、データ圧縮・持ち出しなどが行われていないかを確認します。

どの資産・情報が影響を受けたか

対象となったPCやサーバーだけでなく、メールボックス、共有フォルダ、クラウドストレージ、顧客情報、個人情報などへのアクセスを確認します。

侵害が現在も継続しているか

攻撃者が再侵入できる仕組みを残していないか確認します。

代表例は次のとおりです。

• 追加された管理者アカウント
• OAuthアプリ
• 追加されたMFA
• Webシェル
• APIキー・トークン
• スケジュールタスク
• サービス
• スタートアップ項目

再発防止に何が必要か

侵入経路を塞ぐだけでなく、MFA、権限設計、パッチ管理、セグメンテーション、ログ保持、検知ルールなどを見直します。

不正アクセス時にやってはいけないこと

疑わしい端末でウイルススキャンを先に実行する

一般利用者の感染対応ではスキャンが有効ですが、法人の重大インシデントや証拠保全が必要なケースでは、スキャンによってファイルの隔離・削除やタイムスタンプ変更が発生する場合があります。

専門調査を予定している場合は、先に保全方針を決めます。

再起動・シャットダウンする

メモリ、通信、プロセス、認証トークンなどが失われる可能性があります。

OSやアプリを更新する

調査前に更新を行うと、ファイルや設定、ログが変化し、侵害時点の状態を再現しにくくなることがあります。

不審ファイルやログを削除する

攻撃に使われたファイルは、侵入経路や攻撃者の行動を特定する重要な証拠になる場合があります。

パスワード変更だけで対応を終了する

既存のセッション、OAuth同意、APIキー、メール転送、追加MFAなどが残っている場合、攻撃者のアクセスが継続する可能性があります。

被害範囲未確定のまま原因を断定する

ログや証拠を十分に確認せずに「情報漏えいはない」「この端末だけが被害を受けた」と説明すると、後から新しい事実が判明した際に対応が難しくなります。

不正アクセスでフォレンジック調査が必要になるケース

管理者・IdP・VPN・メール基盤が侵害された疑いがある

高権限のシステムが侵害されると、1台の端末だけでなく組織全体へ被害が広がる可能性があります。

個人情報・顧客情報の流出が疑われる

顧客情報、決済情報、営業秘密などへのアクセスが疑われる場合は、技術調査に加えて法務・コンプライアンス上の対応も必要になります。

ランサムウェア・データ窃取が疑われる

暗号化だけでなく、データを外部へ持ち出してから脅迫する攻撃もあるため、通信やアクセス履歴を含めて調査します。

横展開や永続化が疑われる

複数端末へのアクセス、アカウント追加、Webシェル、スケジュールタスクなどが見つかった場合は、組織全体の影響範囲を調べる必要があります。

法的・監査上の証拠が必要

警察相談、訴訟、保険請求、個人情報漏えい報告、取引先説明などに利用する場合は、証拠の取得方法や保管方法も重要になります。

不正アクセスの侵入経路や被害範囲が分からない場合はフォレンジック調査会社に相談する

単一の不審ログインだけで、実際の侵害や不正操作が確認されていない場合は、社内のログ確認やアカウント保護だけで判断できるケースもあります。

一方で、管理者アカウントへの不正アクセス、複数端末への横展開、メールやクラウド上の情報閲覧、マルウェア感染、情報持ち出しなどが疑われる場合は、端末・アカウント・ネットワーク・クラウドを横断して確認する必要があります。

この段階で独自にウイルス駆除やファイル削除、初期化などを行うと、侵入経路、攻撃者の操作、データアクセス、情報持ち出しの有無を明らかにするためのログや端末上の痕跡が失われる可能性があります。

不審な兆候を確認した場合、フォレンジック調査会社への相談をお勧めします。フォレンジック調査会社では、PC、サーバー、メール、クラウド、ネットワークなどに残る証拠を保全・解析し、不正アクセスが実際に発生したか、どの経路から侵入したか、攻撃者が何を行ったか、どこまで影響が及んでいるかを詳しく調査できます。

こうした専門的な調査を行うことで、必要な封じ込め・復旧範囲を判断しやすくなるほか、個人情報漏えいの有無、取引先への説明、警察・監督当局への相談などに必要な資料の整理にもつながります。

おすすめのフォレンジック調査会社

公式サイトデジタルデータフォレンジック

編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。

デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。

24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。

【厳格調査】デジタルデータフォレンジックの評判は？口コミや評価、料金体系からサービスを調査

2024.3.5

フォレンジックとは「パソコンやHDD、スマートフォンなどのデジタル端末に残されたログやデータ類を抽出し、サイバーセキュリティ調査や法的紛争支援などを行う」技術です。 その中でも【

【2026年版】ハッキング調査会社を見分けるポイント6選！費用相場や悪徳業者の特徴も解説

2024.3.5

「パソコンが遠隔操作され、詐欺にあったかもしれない…」 「会社のパソコンのログを確認したら、未知のIPアドレスから不正アクセスを受けた痕跡を見

まとめ

不正アクセスが疑われる場合、最初から原因究明や駆除を急ぐのではなく、被害拡大の阻止と証拠保全を優先することが重要です。

疑わしい端末はネットワークから隔離し、必要がなければ再起動や初期化を避けます。また、侵害が疑われるアカウントは別の安全な管理端末からセッション失効、認証情報変更、MFA確認などを行います。

調査では、端末ログだけでなく、IdP、メール、クラウド、Firewall、VPN、Proxy、DNS、SaaSなどの記録を時系列で突き合わせ、「本当に侵害があったのか」「どこから侵入したのか」「攻撃者が何をしたのか」「どの情報が影響を受けたのか」を確認します。

また、マルウェア削除、OS更新、ログ削除、端末初期化などを証拠保全前に行うと、侵入経路や情報漏えいの有無を判断するための重要な痕跡が失われる場合があります。

管理者アカウント、メール基盤、VPN、クラウド環境への侵害、個人情報・顧客情報の漏えい、ランサムウェア、横展開などが疑われる場合は、早期にフォレンジック調査を検討し、侵入経路と被害範囲を明らかにすることが重要です。