不正アクセスされたか調べる方法どこから入られたかをWindowsで無料チェック・見に行かずに気づく方法

不正アクセスされたか・どこから入られたかは、Windowsの標準機能だけで無料で調べられます。この記事では、その手順を順番に説明します。

不正ログインは、社内で最も気づかれにくい侵入の形です。正しいIDとパスワードで入られると、システムから見れば正当な利用者のログインで、エラーも警告も出ません。製品の導入や見積もりなしで、無料で確認する方法から順に整理します。侵入の手口は不正アクセスの基本で解説しています。

無料でできる不正ログインの確認方法

WindowsやMicrosoft 365の標準機能で、いつ・どこから・誰がログインしたかは確認できます。着手しやすい順に3つです。

3つ目は自社のログを読んで侵入を検出するものではなく、不正ログインを受けやすい状態になっていないかを判定するものです。すでに侵入されたかを調べたい場合は、1つ目のログ確認が答えになります。

アプリップリキーを使うと、全PC・サーバーのログイン記録（日時・利用者・接続元のPC名とIPアドレス）を1か所で見られます。1台ずつイベントビューアーを開いて回る作業が、画面を開いて絞り込むだけで済み、異変があるときだけ担当者のLINEに届くので、何もない日は見に行かなくて済みます。さらに、PC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにして2要素認証にできます（PC版・サーバー版。リモートデスクトップでのログインも対象）。ADは不要で、PC1台から始められます。

価格と初月無料を見る資料を見る（PDF）

PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）

どこから入られたかを調べる（侵入経路ごとの確認場所）

不正アクセスの調べ方は、入られた可能性のある入口によって見る場所が変わります。中小企業で多い入口は、警察庁の統計でもVPN機器とリモートデスクトップです（ランサムウェアの侵入経路）。社内のWi-Fiも、VPNと同じく社内への入口です。入口ごとに、どこを開けば「いつ・どこから・誰のIDで」入られたかが分かるかをまとめます。

入口のログで不審な接続が見つかったら、次はそのIDで社内のどのPC・サーバーにログインしたかを追います。VPNを抜けた攻撃者は、盗んだ正規のIDで社内のPCやサーバーへ順にログインしていくためです。入口だけ見て終わると、入られた範囲を見誤ります。

不正アクセスされたかを調べる手順（5ステップ）

見る順番を固定してください。思いついた場所から開くと、痕跡のある場所を飛ばして「何もなかった」と結論づけてしまいます。

各手順の詳細は、イベントビューアーのログ保存期間を確認・変更する手順、Windowsのログイン履歴を確認する方法、Entra IDのサインインログを確認する手順、Windowsのロックアウトを解除する方法、共有フォルダのアクセス履歴を記録する手順にまとめています。

何も出てこなくても、「侵入されていない」ことの証明にはなりません。記録されていない経路、保存期間を過ぎた期間、監査が無効だった項目は調べようがないためです。

Windowsで今すぐできる確認（コマンド3つ）

画面を1件ずつ見るより、コマンドで絞り込む方が早く確実です。Windows PC・サーバーのどちらでも追加ソフトなしで実行できます。スタートボタンを右クリックし、「ターミナル（管理者）」または「Windows PowerShell（管理者）」で貼り付けてください（管理者でないとセキュリティログが読めずエラーになります）。

1. 直近7日に成立したネットワーク・リモートからのログオン

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddDays(-7)} |
  Where-Object { $_.Properties[8].Value -in 3,10 } |
  Select-Object TimeCreated,
    @{n='ユーザー';e={$_.Properties[5].Value}},
    @{n='種類';e={$_.Properties[8].Value}},
    @{n='接続元IP';e={$_.Properties[18].Value}}

種類が10ならリモートデスクトップ、3なら共有フォルダなどネットワーク経由のログオンです。

2. 深夜・早朝（22時〜7時）に成立したログオン

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddDays(-7)} |
  Where-Object { $_.TimeCreated.Hour -ge 22 -or $_.TimeCreated.Hour -lt 7 } |
  Where-Object { $_.Properties[8].Value -in 2,3,10,11 -and $_.Properties[5].Value -notlike '*$' } |
  Select-Object TimeCreated, @{n='ユーザー';e={$_.Properties[5].Value}}, @{n='種類';e={$_.Properties[8].Value}}

システム自身のログオン（SYSTEM）と、末尾が$のコンピューターアカウントは除いています。

3. ログオンに失敗した回数を接続元ごとに数える

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-7)} |
  Group-Object { $_.Properties[19].Value } |
  Sort-Object Count -Descending |
  Select-Object -First 10 Count, Name

社外のIPが出てきたら、そのIPから成功したログオンがないかを1のコマンドで探してください。失敗だけなら入られてはいませんが、成功が1件でもあれば調査の対象です。

ドメイン環境では、ログオンの多くはドメインコントローラー側に記録されます。社内全体を見るならドメインコントローラーで同じコマンドを実行してください。画面での手順はWindowsのログイン履歴を確認する方法にあります。

まとめて無料でチェックする（点検スクリプト）

上のコマンドを1つずつ打つのが手間なら、ログオン失敗の集計に加えて、パスワードだけで入れるアカウント・管理者・リモートデスクトップの設定までを1回で一覧にするスクリプトを用意しています。無料・登録不要です。

powershell -ExecutionPolicy Bypass -File .\Check-WindowsLogin.ps1

「要確認」が0件でも、Windowsのログインはパスワードを知っていれば本人として入れる状態のままです。結果の見方と次にやることは、スクリプトの最後に表示されます。

見落とされやすいのは「PCへのログイン」

報道ではVPN機器やクラウドのアカウントが侵入口として取り上げられますが、被害が広がるのは攻撃者が社内のPCやサーバーへログインしてからです。クラウドに多要素認証を入れていても、WindowsのPCログインはパスワードだけという会社は少なくありません。

なぜ不正ログインは気づかれないのか

パスワードが漏れた場合に何が起こりうるかはパスワード漏洩の影響で扱っています。

兆候として現れうるもの

• 普段使われない時間帯や場所からのログイン（深夜・休日、業務で使わない地域）
• 同一アカウントの同時ログイン（同じIDが別の端末から並行して使われる）
• 失敗が続いた後の成功
• 退職者や休職者のアカウントの利用
• 管理者権限の操作が普段と違う（権限付与や設定変更が運用時間外）
• 設定やメール転送ルールが勝手に変わっている
• 利用者が身に覚えのないログイン通知を受け取っている

単独では断定できませんが、複数が重なれば詳しく見る対象です。管理者権限のアカウントは権限管理の考え方も確認してください。

確認するときに見る観点

いつ・誰が・どこから・何に対して操作し、成功したか失敗したかの5点が読み取れるかを基準にします。すべてのログを毎回見るのは無理なので、管理者権限を持つアカウントと社外からのアクセスに絞るのが実務的です。影響が大きく、件数が限られて続けやすい範囲です。アカウントの整理はID棚卸しの進め方、何をどの期間記録するかはアクセスログ監査で扱っています。

確認を仕組みにする

人が見に行く確認を続けるのが難しい場合は、全PC・サーバーのログイン記録を1か所に集め、異変があるときだけLINEに届く形にすると、毎日見に行かなくて済みます（アプリップリキー）。確認の担当と頻度を決めても、見に行く手間そのものが減れば、忙しい時期でも止まりにくくなります。さらに、PC・サーバーのログインを本人のスマホを鍵にしたワンタッチログインにすると、2要素認証になります（PC版・サーバー版）。毎回の操作はスマホでワンタッチなので、社員の手間はほとんど増えません。

見つけた場合にまず何をするか

まず該当アカウントのアクセスを止め、パスワードと認証情報を変更します。そのうえで、何が閲覧・操作できたかの影響範囲を確認します。迷う場合も、止める判断は先に行って構いません。初動の詳細はパスワード漏洩の影響と対応で扱っています。

環境別にどこを開いて確認するか

身に覚えのないログイン通知が来たとき

利用者からの「自分ではないログインの通知が届いた」という報告は、管理者のログ確認より早く異常を捉えられる経路です。次の順で確認します。

通知が来ていないことは、何も起きていない証明にはなりません。通知は設定されている場合にしか届かず、攻撃者が設定を変えていることもあります。

確認だけでは足りないこと

気づく仕組みは被害を小さくするためのもので、確認を増やしても侵入そのものは減りません。パスワードだけで入れる入口が残る限り、同じことが繰り返されます。入口側の対策はWindows OSログインの2要素認証、全体の組み立ては不正アクセス対策、検知と予防診断の違いは検知システムと予防診断の違いを参照してください。

普段の管理が楽になると何が変わるか

この記事の手順は、何か起きたときに1台ずつ調べる方法です。ログイン記録を普段から1か所で見られるようにしておくと、同じ確認が日常の作業の中で済みます。たとえば社員から「ロックされて入れない」と言われたとき、席まで行かずに、どのPCで誰が失敗したかをその場で確かめられます。取引先のチェックシートや監査で「ログインの記録はありますか」と聞かれたときも、日付と利用者で絞り込んだ記録をその日にCSVで出せます。夜間や休日は、異変があるときだけ担当者のLINEに届くので、何もない日は見に行かずに安心して休めます。

よくある質問

不正アクセスされたかを調べるツールはありますか？

まずは追加費用のかからない標準機能で足ります。Windows PC・サーバーはイベントビューアーとPowerShell（上の「Windowsで今すぐできる確認」のコマンド3つ、またはまとめて確認できる無料の点検スクリプト）、Microsoft 365はEntra IDのサインインログです。有償の監視ツールは、こうした記録を自動で集めて知らせるためのもので、記録そのものが残っていなければ調べられない点は同じです。

不正アクセスの痕跡は消されることがありますか？

管理者権限を奪われると、イベントログを消去されることがあります。ただしWindowsでは、セキュリティログを消去した操作自体がイベントID 1102として記録されます。1102が見つかった場合は、消去した時刻と操作したアカウントを手がかりに調査を進めてください。

どこから入られたかが分からないときは？

ログオン成功の記録（イベントID 4624）の接続元IPアドレスとログオンの種類を見ます。社外のIPアドレスやVPNの出口からのリモートログオンがあれば、そこが入口の候補です。PCの利用履歴そのものの見方はWindowsのログイン履歴を確認する方法、リモートデスクトップはリモートデスクトップの接続履歴を確認する方法を参照してください。

いまの運用を棚卸ししてみる

ログイン状況の確認が運用として回っているか、入口側の対策がどこまで進んでいるかは、組織ごとに状況が異なります。applippliの無料棚卸しでは、10問・約3分で、自社の認証・アカウント管理の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。