パソコンに誰が・いつログインしたのかを調べる4つの方法【Windows監査ログの使い方】

信じがたいかもしれませんが、あなたの周りには詮索好きで好奇心旺盛な人が潜んでいるものです。「誰かに勝手にパソコンを使われたような気がするのに、犯人を特定できない」といった経験はありませんか？　それは親友かもしれませんし、気の合わないルームメイト、あるいは何でも知りたがる兄弟姉妹かもしれません。

プライバシーを守るためにも、疑念が正しいかどうか確かめたいなら、誰があなたのマシンに干渉したのかを必ずチェックしておきましょう。

「パスワードを設定しているから誰もログインできない」と思っている方は要注意です。実は他にもさまざまな手段でデバイスにログインし、悪意のある操作を行ったり、あなたのアカウントから不適切なメッセージやメールを送信したりすることが可能です。また、子供や弟妹がパソコンで何をしているのかを見守る目的でも活用できます。

この記事では、「誰がいつパソコンにログインしたのか」を突き止めるための具体的な方法をご紹介します。

システムへの不正ログインを確認する方法

許可なくシステムを使用した人物は、以下の項目を確認することで特定できます。

• イベントビューアー
• 最近使ったファイル
• ブラウザの閲覧履歴
• 最終手段：タスクスケジューラ

1. イベントビューアーでログオン履歴を確認する

イベントビューアーを利用する前に、「ログオンの監査」が有効になっていることを確認してください。まだ有効化していない場合は、以下の手順に従ってください。

• スタートボタンをクリックし、「gpedit.msc」と入力してローカルグループポリシーエディターを開きます。

エディターが開いたら、「ローカル コンピューター ポリシー」→「コンピューターの構成」→「Windows の設定」→「セキュリティの設定」→「ローカル ポリシー」→「監査ポリシー」の順に移動します。

ポリシーの一覧が表示されるので、「ログオン イベントの監査」を右クリックして「プロパティ」を選択します。

• すべてのログインを把握できるよう、「成功」と「失敗」の両方のチェックボックスをオンにします。

この機能を有効にすると、以降のログオンイベントが記録され、将来的にすべてのログオン履歴を確認できるようになります。すでにログオンの監査が有効になっている場合は、この手順は不要です。

• 次に、スタートボタンをクリックし、検索ボックスに「イベントビューアー」と入力します。

• イベントビューアーの「Windows ログ」→「セキュリティ」カテゴリへ移動します。
• 「セキュリティ」をダブルクリックし、ログインおよびログアウトのイベントを確認します。
• イベントの詳細（どのユーザーアカウントでログインしたかなど）を知りたい場合は、該当イベントをダブルクリックし、テキストボックス内をスクロールして内容を確認します。

ただし、Windowsログの調査はやや煩雑です。運が良ければ、誰かがあなたのマシンを勝手に操作している証拠にたどり着けるでしょう。

2. 最近使ったファイルをチェックする

パソコン上での最近の操作やファイルの変更履歴を確認すれば、詮索好きな人物を見つけられるかもしれません。これは最も手軽な方法の一つで、以下の手順だけで完了します。

スタートボタンをクリックし、「最近使った項目」を確認します。

表示されていない場合は、以下の手順で有効化しましょう。

• スタートボタンを右クリックし、「プロパティ」を選択します。
• 「タスクバーと[スタート]メニューのプロパティ」が表示されます。
• 「カスタマイズ」をクリックすると、スタートメニューに表示できる項目の一覧が現れるので、「最近使った項目」を選択して「OK」をクリックします。

これで犯人を特定できる可能性があります。しかし、相手がある程度PCに詳しい人物なら、痕跡を隠蔽するために「最近使った項目」の一覧を削除していることも考えられます。

その場合は、最近更新されたファイルを確認しましょう。

• 「Windows + E」キーを押してエクスプローラーを開きます。
• ファイルが保存されているドライブをクリックし、検索フィールドを選択して「更新日時」を指定します。
• 日付を指定すると、その日に更新されたすべてのファイルの一覧が表示されます。

3. ブラウザの閲覧履歴を確認する

最近アクセスされたウェブサイトがないか、閲覧履歴にさっと目を通してみましょう。

これによりブラウザの使用状況を把握でき、詮索好きな人物に関するさらなる情報を得られることもあります。インストールされているブラウザの閲覧履歴をチェックするだけでOKです。

4. 最終手段：タスクスケジューラで通知を設定する

上記の方法で何も見つからず、それでも「誰かがパソコンを使ったのではないか」という疑念が残る場合は、この方法を最後の選択肢として試しましょう。タスクをあらかじめスケジュール設定しておけば、システムがスリープモードから復帰したときや、誰かがマシンにアクセスしようとしたときに通知を受け取れるようになります。

タスクをスケジュールするには：

スタートボタンをクリックし、「タスク スケジューラ」と入力して「タスク スケジューラ」を選択します。

• 「操作」→「タスクの作成」をクリックします。

• [全般] タブで、「ユーザーがログオンしているかどうかにかかわらず実行する」のチェックボックスをオンにします。

• [トリガー] タブをクリックし、「新規」→「タスクの開始」の順に進み、状態を「スケジュール時」から「起動時」または「ワークステーションのロック解除時」に変更します。

• 一覧の中に適した項目がない場合は、独自にカスタマイズすることも可能です。「イベント時」を選択し、誰かがパソコンを使用した際に警告を発するトリガーとして、どのアプリケーションまたはシステムイベントを使用するかを指定します。

• システムイベントだけでなく特定のアプリケーションを指定したい場合は、一覧から「アプリケーション」を選択し、続いて「ソース」の一覧から対象のアプリケーションを選びます。

以上が、システムの活動状況を監視するための主な方法です。もし誰かがあなたのシステムを使用していたことが判明したら、今後の安全を確保するためにユーザー名とパスワードを変更することを強くおすすめします。さらに、システム内に悪意のあるファイルが残っていないか、必ずウイルススキャンを実行してください。