クイックマンからのお知らせ

【不正調査】退職した社員のパソコンから不正の証拠を復元する方法【データ復旧】

2020.02.07

データ復旧というサービスはかなりニッチなサービスなのですが、
そんな中でも更に特殊なサービスとして、データ復旧による不正調査というサービスがあります。
これは、不正が疑われる退職者のパソコンから削除されたデータやメールを復元しようというサービスです。
当社でも年々ご相談が増えておりますが、どういった事例で成功するのか、又は失敗するのか、
ケースごとにご紹介したいと思います。

不正調査に成功しやすい例

１．疑いのある現社員のパソコンから証拠になりそうなデータを復元する。

当社のディスククローンサービスにより、本人に気づかれずハードディスクよりデータを取り出します。
取り出したデータから削除データ、メール、オフィスファイルなどを復元、
証拠になるデータを探します。

２．退職時にいらないデータを本人が削除、以降そのパソコンは一切使っていなかった。

不正をおこなった社員は、退職時にその証拠を削除しようとします。
データ削除後にゴミ箱からも削除している場合が多いでしょう。
この場合は解析作業が必要ですがデータを復元できるケースが多いです。

３．メールに不正の証拠があったはずが削除されている。

メールに不正の証拠がある場合、やはりゴミ箱からも削除されていると思われます。
ただ、アウトルックなどのメールソフトの場合、ゴミ箱から削除された場合においても
メールデータを復元できる場合があります。

４．NAS・サーバーに保存していた重要データが退職時にごっそり消されていた。

NASやサーバーに保存されていた取引先に関する重要な資料など、
会社の資産を不正に消去するような事例もございます。
こういった場合も消去から日が浅ければ復旧できる見込みがございます。

５．不正の証拠が見つかるのを恐れた社員がパソコンを破壊した

パソコンを物理的に破壊したとしても内部のHDDなど記録媒体が壊れているとは限りません。
また、HDDが破損していたとしても相応の設備があるデータ復旧会社であれば
復元できる場合も多いです。
HDD内のデータにアクセスさえできれば不正の証拠があるのは間違いないでしょうから、
わかりやすい事例かもしれません。

不正調査に失敗しやすい例

１．Macで削除されたと思われる証拠データを復元したい。

Mac（特に最近のSSDモデルなど）はそのデータの管理上、最適化が頻繁におこなわれるため、
削除データの復元はWindowsに比べ復元率が悪いです。
Macの削除データがを復元する場合、できる限り早期に、できる限り起動時間が短い状態で
作業に着手するのが望ましいです。

２．半年前に退職した元社員のパソコン、退職後は別の社員が毎日使用している。

削除されたデータはその瞬間はデータのアドレスが消えただけで、実際のデータは存在します。
ただ、管理上はデータが無いことになっていますので、
パソコンを使い続けるとどんどんその領域に新しいデータが書き込まれます。
削除データの領域に新しいデータが上書きされてしまうと、
そのデータはほぼ復元不可となります。
従いまして削除後長期間使用されたパソコンからのデータ復旧は困難と言わざるを得ません。

３．個人で取得していたであろうWebメールに証拠がある可能性がある。

Webメールの場合、パソコン内のデータから直接メールの内容を復元することはできません。
使っていたWebメールのサービスがわかっていて、
且つ、会社の管理するメールアカウントを使って取得していたのであれば、
パスワードの再発行などから閲覧できる可能性があります。
また、パスワードをなんらかの形でパソコン内に保存していた場合は、
データ復旧からログインIDとパスワードの情報を取り出せる可能性があります。

４．チャットソフトでやり取りしていた履歴

LINEなどチャットソフトを使っていた場合、その履歴を追うことは困難です。
ビジネス向けのサービスなどであれば管理者が履歴を追える機能がありますが、
個人向けの場合、ログインIDなどがわからない限り復元は難しいです。
唯一可能性があるとすれば、フォレンジックサービスを使う方法です。
フォレンジックは警察機関や裁判用などデータの追跡に特化したサービスです。
これらはデータ復旧とはまた違った機材とノウハウを使います。
ただ、フォレンジックサービスは非常に高額です。最低30万～数百万円となります。

５．ファイル操作、キーボード操作などの操作履歴

アプリケーションの起動、終了やWindowsの注意、警告などはログ情報として残ります。
それらは追いかけることができますが、それ以上となりますと事前に監視ツールなどを
導入しておかない限り、追跡することはできません。
これらについてもフォレンジックサービスによって一部追跡可能ですが、
こちらも非常に高額になることを覚悟する必要があります。