不正アクセス調査・パソコンの証拠保全
「誰が、いつ、何をしたのか」を調べます
社内のシステムに見覚えのないログインがあった。退職した社員がデータを持ち出したかもしれない。
そのようなとき、まず必要なのは「事実」です。
アイ・コンピュータサービスでは、問題のあったパソコンをお預かりし、中身を変えないように複製したうえで、削除されたファイルの復元、操作の履歴、保存されていた認証情報を調べ、報告書にまとめます。
ところが、グループウェアにはアクセスの記録（ログ）を残す設定がされておらず、誰がいつログインしたのかはグループウェア側から確認できませんでした。
そこで、関係するパソコンをお預かりし、ディスクの複製、削除ファイルの復元、ファイル操作の履歴の調査、管理者のご依頼による保存された認証情報の確認を行いました。
パソコンに残った痕跡からたどれることは多くあります。ただし、最初からログが残っていれば、調査はもっと早く、もっと確かなものになっていました。
こんなときにご相談ください
- グループウェアやクラウドサービスに、身に覚えのないログインや操作があった
- 退職者・異動者が、社内のデータを持ち出したかもしれない
- 大事なファイルが、誰かに削除されていた
- 共有のパソコンに、誰がどのサービスのパスワードを保存しているか分からない
- 取引先や顧客から「情報が漏れていないか」と問い合わせを受けた
- 警察や弁護士に相談する前に、事実関係を整理しておきたい
お預かりから最短3営業日でご報告
不正アクセスが分かったとき、困るのは「何が起きたか分からないまま時間が過ぎること」です。パスワードを変えるべきか、取引先に連絡すべきか、判断できません。
一般的なフォレンジック調査では、報告まで1〜3週間かかることも珍しくありません。
アイ・コンピュータサービスでは、お預かりから最短3営業日で調査報告書をお渡しします。
早くお届けできる理由
- 調査の内容を項目ごとに切り分け、決まった手順で進めています。時間のかかる作業は並行して進めます
- 目的を「社内調査・原因究明」に絞っているため、裁判向けの調査のような手続きに時間を取られません
- 千葉市内は、パソコンの引き取りに伺います（出張引き取り）
※最短3営業日は、パソコン1台・SSD 512GB程度まで・ディスクに大きな故障がない場合の目安です（土日祝日を除く）。HDDの場合、台数が多い場合、容量が大きい場合、ディスクに故障がある場合は、お見積りの際に日程をお伝えします。
※暗号化（BitLocker）の回復キーが無い場合など、調査を始められないことがあります。
調査の内容
1. ディスクの保全（HDD・SSDの複製）
調査は、お預かりしたパソコンのディスクを丸ごと複製してから行います。
調べる作業は複製したディスクの側で行うため、元のディスクの内容は変わりません。元のディスクはそのままの状態で保管し、ご返却します。
後から別の観点で調べ直したくなったときも、調査前の状態に戻って確認できます。
元のディスクには手を加えないため、裁判に備えて専門業者へ調査を引き継ぐことになった場合も、そのままお渡しできます。
2. 削除されたファイルの復元
ごみ箱を空にしたファイルや、削除されたファイルでも、ディスク上に痕跡が残っていれば復元できる場合があります。
復元できたファイルは一覧にし、ファイル名・場所・日時がわかる形でお渡しします。
削除後に別のデータで上書きされた部分は、HDDでも復元できません。
SSDは、削除したデータが自動で消されていきます（TRIM）。そのため、HDDより復元できる見込みがかなり下がります。
削除してから時間がたつほど、また電源を入れて使い続けるほど、復元できる見込みは下がります。
3. ファイル操作の履歴の解析
パソコンには、使った人が意識しないところで、ファイルを開いたり保存したりした記録が残っています。
これを解析し、どのファイルを、いつ、どこから開き、どこへ保存したのかを時系列で整理します。
社内の共有フォルダやNASのファイルを開いた記録も、残っている範囲で確認します。
4. 疑わしいファイルの「その後」の追跡
操作の履歴から、問題の日時に開かれていたファイルが見つかった場合は、そのファイルがその後どう扱われたかを追いかけます。
- USBメモリや外付けディスクに保存されていないか（接続された機器と日時）
- 別の名前や別のフォルダに複製されていないか
- メールへの添付やクラウドストレージへのアップロードの形跡がないか
- 保存された後に削除されていないか（削除されていれば復元を試みます）
「いつ、どのファイルが、どこへ持ち出された可能性があるか」を一つの流れとして整理し、報告書に記載します。
※確認できる範囲は、パソコンの設定や使われ方、経過した期間によって異なります。
5. 管理者の依頼による、保存された認証情報の確認
パソコンの管理者からのご依頼により、そのパソコンにどのサービスの認証情報（ログイン情報）が保存されていたかを確認します。
「このパソコンから、どのサービスにログインできる状態だったか」が分かるため、不正アクセスの経路の特定や、変更すべきパスワードの洗い出しに役立ちます。
6. 調査報告書の作成
調べた結果を、パソコンに詳しくない方にも分かる言葉で報告書にまとめます。
確認できた事実と、確認できなかったことを分けて記載します。推測で結論を書くことはしません。
会社が所有し、業務用として社員に貸与しているパソコンなど、ご依頼者に管理する権限があるパソコンに限ります。
個人所有のパソコンは、持ち主ご本人の同意がない限りお受けできません。認証情報の確認結果は報告書とあわせてご依頼者にのみお渡しし、当社では報告書の納品から1週間後に消去します。
訴訟や警察への提出に使う場合、証拠として認められるには、作業の手順とその記録を厳密に管理する必要があります。
裁判になりそうな案件は、デジタル・フォレンジックの専門業者と組んで対応するか、専門業者をご紹介します。裁判で使う可能性がある場合は、ご依頼の前にお知らせください。
ご依頼の流れ
使い続けるほど、削除されたファイルの痕跡や操作の履歴が上書きされ、調べられることが減っていきます。
パスワードの変更は、問題のあったパソコンではなく、別のパソコンから行ってください。
ただし、ドライブの暗号化（BitLocker）が有効なパソコンは、回復キーが無いと、電源を切った後に中身を読めなくなることがあります。
電源を切る前に、回復キーが手元にあるかご確認ください。分からない場合は、パソコンを操作せず、電源を入れたまま先にご相談ください。
- ご相談何が起きたか、いつ気づいたか、関係しそうなパソコンや利用しているサービスをお聞きします。
- お見積り調べる台数と内容を決めて、お見積りと、報告までの日程をお伝えします。
- パソコンのお預かりご来社いただくか、こちらから引き取りに伺います。お預かり時に受領書をお渡しします。
- ディスクの保全・調査ディスクを複製し、複製した側で調査を行います。
- 報告とご返却報告書をご説明し、パソコンをご返却します。複製したディスクは納品物としてお渡しします（不要な場合は当社で消去・廃棄します）。再発防止策もあわせてご提案します。
※調査のために当社で作成したデータは、報告書の納品から1週間保管した後、当社で消去します。
料金
パソコン1台あたりの料金です（税込）。ディスクの容量や状態、調べる範囲によって変わるため、ご相談のうえお見積りします。
| ディスクの保全（複製） 複製先のディスク代は別途 |
～1TB：22,000円 ～2TB：33,000円 2TB～：別途見積 |
|---|---|
| 削除されたファイルの復元 復元できなかった場合は、この料金はいただきません |
33,000円～ |
| ファイル操作の履歴の解析 ファイルを開いた・保存した日時と場所を整理 |
55,000円～ |
| 疑わしいファイルの追跡 持ち出し・複製・削除の有無を確認 |
55,000円～ |
| 管理者の依頼による、保存された認証情報の確認 どのサービスのログイン情報が保存されていたか |
22,000円～ |
| 調査報告書の作成 | 22,000円 |
| 出張引き取り 千葉市内 |
5,500円 |
調査で分かることには、限界があります
パソコンに残った痕跡から分かることは多くあります。それでも、パソコンの中だけでは分からないことがあります。
たとえば「社外のどこから、誰のIDでグループウェアにログインしたのか」は、パソコンではなく、グループウェアやネットワーク機器のログにしか残りません。
そしてログは、事件が起きてからでは取れません。
| 知りたいこと | パソコンの調査だけ | ログを取っていれば |
|---|---|---|
| いつ、誰のIDでログインしたか | △ 推測にとどまる | ○ 日時・ID・接続元が分かる |
| 社外から入ったのか、社内からか | × 分からない | ○ 接続元のIPアドレスが分かる |
| どのデータを閲覧・ダウンロードしたか | △ そのパソコンに保存された分のみ | ○ サービス側の操作記録で分かる |
| USBメモリにコピーしたか | △ 痕跡が残っていれば | ○ 操作ログで日時・ファイル名が分かる |
| 操作したのは誰か | △ アカウント名までにとどまる | ○ 入退室記録や通信記録と突き合わせて、アカウントではなく「人」まで特定しやすくなる |
| 調査にかかる時間と費用 | 大 台数分のお預かりと解析 | 小 記録を確認するだけ |
もし明日、不正アクセスが見つかったら、答えられますか
答えられるものにチェックを入れてください。
答えられない項目は、起きたときに「分からない」ままになる部分です。下の導入メニューで、どこから手を付けるかご相談ください。
ログを残す仕組みづくり
いきなり高額なシステムを入れる必要はありません。今お使いのサービスや機器の設定を見直すだけで残せるログもあります。
御社の規模と、守りたい情報に合わせて、必要なものから順にご提案します。
STEP 1今ある仕組みの設定を見直す
サイボウズ・Microsoft 365・Google Workspace などのクラウドサービス、NAS、Windows には、多くの場合ログを残す機能が備わっています。それが有効になっているか、保存期間は十分かを点検し、設定します。あわせて、多要素認証の設定、退職者アカウントの棚卸し、ブラウザへのパスワード保存の制限を行います。
費用の目安：点検・設定作業 6,600円/時間
STEP 2パソコンの操作ログを取る
社員のパソコンに操作ログを記録するソフトを導入します。ファイルのコピー・USBメモリの使用・Webサイトの閲覧・印刷などが、日時と利用者つきで記録されます。記録されていることを社内に周知するだけでも、持ち出しの抑止になります。
費用の目安：ソフトのライセンス費（台数による）＋導入作業。お見積りします。
STEP 3社内と外部の通信を記録・遮断する
インターネットの出入口に、通信の記録と不正な通信の遮断ができる機器（UTM など）を設置します。社外からの不審な接続や、社内から外部への大量のデータ送信を記録し、必要に応じて止めることができます。
費用の目安：機器代（レンタル・リースも可）＋設置作業。お見積りします。
STEP 4ログを定期的に確認する
ログは取るだけでは意味がありません。当社で定期的にログを確認し、不審なログインや大量のファイル操作がないかをご報告します。費用の目安：月次点検・報告 お見積りします。
調査をご依頼いただいたお客様には、調査の結果をもとに「今回の件で、どのログがあれば分かったか」を具体的にご説明し、再発防止策としてご提案します。
ログ取得の仕組みづくりだけのご相談もお受けしています。
よくあるご質問
- 不正アクセスに気づいたら、まず何をすればよいですか。
- 該当のパソコンはできるだけ使わず、電源を切ってそのまま保管してください。使い続けると、削除されたファイルの痕跡や操作の履歴が上書きされて消えていきます。共有しているパスワードの変更は、別の安全なパソコンから行ってください。なお、ドライブの暗号化（BitLocker）が有効なパソコンは、回復キーが無いと電源を切った後に中身を読めなくなることがあります。回復キーが見当たらない場合は、電源を切る前にご相談ください。
- 削除されたファイルは必ず復元できますか。
- 復元できることは保証しておりません。削除後に上書きされた部分は、HDDでも復元できません。特にSSDは、削除したデータが自動で消されていく仕組み（TRIM）があるため、HDDより復元できる見込みがかなり下がります。
- 調査結果を裁判や警察への相談に使えますか。
- 当社の調査は、社内調査・原因究明までを範囲としています。報告書は社内での判断や、弁護士・警察へのご相談の資料としてお使いいただけます。訴訟や警察への提出に使う場合は、証拠として認められるために厳密な手順と記録が必要になるため、専門業者と組んで対応するか、専門業者をご紹介します。
- 従業員が使っていたパソコンを調べてもよいですか。
- 会社が所有し、業務用として貸与しているパソコンであれば、会社からのご依頼で調査できます。個人所有のパソコンは、持ち主ご本人の同意がない限りお受けできません。
- 結果が分かるまで、どのくらいかかりますか。
- パソコン1台・SSD 512GB程度まで・ディスクに大きな故障がない場合、お預かりから最短3営業日で調査報告書をお渡しします。台数や容量、ディスクの状態によって変わるため、お見積りの際に日程をお伝えします。
関連サービス
- データ復旧（故障したパソコン・HDD・NASからのファイル救出）
- ファイルサーバー・NAS設定
- 企業向けサービス
- HDDデータ完全消去（退職者・廃棄パソコンのデータ消去）
