デジタル･フォレンジック調査の実務――有事に何が行われ、平時に何を備えるべきか

不正の疑いが浮上したとき、調査の現場では実際に何が行われるのでしょうか。「デジタル･フォレンジック」という言葉は知っていても、その具体的な流れや、調査の成否を分けるポイントまで把握している方は多くないかもしれません。

本コラムでは、不正調査の実務経験にもとづき、デジタル･フォレンジック調査の全体像を「計画・保全」「解析」「レビュー・報告」の各フェーズに分けて解説します。あわせて、実務でよくある質問と、調査結果を大きく左右する「平時の備え」についても取り上げます。有事対応の解像度を上げたい法務・コンプライアンス・監査部門の方は、ぜひ最後までお読みください。

デジタル･フォレンジック（Digital Forensics）とは、デジタル・フォレンジック研究会の定義によれば、インシデントレスポンスや法的紛争・訴訟に際し、電磁的記録の証拠保全および調査・分析を行うとともに、電磁的記録の改ざん・毀損等についての分析・情報収集等を行う一連の科学的調査手法・技術を指します。

平たく言えば、PCやスマートフォン、サーバに残されたデジタルデータを解析し、「原本と同一の完全性を持った証拠」として活用するための技術です。単にデータを取り出すだけでなく、そのデータが改ざんされていないことを技術的に担保しながら扱う点に、この手法の本質があります。

歴史的には、米国民事訴訟におけるディスカバリ制度、とりわけ電子情報の開示を義務付ける「Eディスカバリ」とともに発展してきました。ディスカバリとは、本審理(トライアル)に移行する前の段階で、当事者間で関連資料を開示し合う手続きを指します。訴訟に関連する可能性のある電子メール等を適切に保存し、原則として相手方に開示する──この要請に応える技術基盤として、デジタル･フォレンジックは磨かれてきた経緯があります。

不正調査における事実認定は、主に3種類の証拠を基礎として行われます。

1. 人から得られる証拠──ヒアリングの聴取結果など
2. 帳簿等から得られる証拠──財務諸表の分析や証憑突合など
3. 電子データから得られる証拠──メール・チャット・ログなど

ここで考えてみてください。ヒアリングの相手が回答を拒否したら、どうなるでしょうか。あるいは、突き合わせた証憑が既に改ざんされていたら?

人からの証言も帳簿からの証拠も重要であることに変わりはありませんが、いずれも「加工され得る」という弱点を抱えています。証言は「忘れた」「覚えていない」と言われれば行き止まりになり、帳簿は粉飾後の数字が入力されていれば分析だけでは真実にたどり着けません。これに対し、電子データは改ざん前の、いわばRAWデータです。

コミュニケーションデータやログデータは加工されていない生の記録であり、しかも不正に直接関係しないやり取りであっても、その会社の社風や組織の空気を映し出すことがあります。真実に近づく手段として、そして不正の原因を分析する手がかりとして、デジタル･フォレンジックの重要性が増しているのはこのためです。

東京商工リサーチの2024年度全上場企業「不適切な会計・経理の開示企業」調査によれば、不祥事の公表数は2009年の21件から、コロナ禍前の2019年には約4倍にまで増加しました。その後コロナ期に一旦減少したものの、再び増加傾向にあります。

注目すべきは、2024年度に開示された調査報告書のうち、70%以上でデジタル･フォレンジックの実施が開示されているという事実です。電子データの調査は、もはや一部の大型事案に限られた特殊な手法ではなく、あらゆる不正調査における標準的な調査手段と位置づけられています。裏を返せば、有事の際に電子データの調査を選択肢として持っていない組織は、調査の網羅性という点で不利を負いかねない、とも言えるでしょう。

デジタル･フォレンジック調査は、大きく次の5つのフェーズで進行します。

多くの調査では、処理・解析したデータをレビュー専用のプラットフォームにアップロードし、そこでデータレビューを行います。以下、各フェーズの勘所を順に見ていきましょう。

網羅的かつ効果的な保全のためには、まず調査対象企業のIT環境の把握が出発点となります。メールサーバーはどこにあるのか。ファイルサーバーは。クラウドサービスの利用は。PCやスマートフォンの貸与状況は──。これらを一つずつ確認していきます。

見落とされがちなのが、アプリケーションの変更履歴や貸与デバイスのリプレイス状況です。「昨年チャットツールを切り替えた」「対象者のPCは半年前に入れ替えた」といった事実を押さえておかないと、肝心のデータが旧環境に残されたまま調査から漏れる事態が起こり得ます。データがどこに、どのような形で存在しているのか。この見取り図の精度が、後続フェーズすべての土台になります。

調査対象者は、次の3段階で考えます。

• 候補者:不正の実行者やその上席者に加え、該当部署の所属者なども含め、まずはある程度網羅的にリストアップする
• 保全対象:候補者のうち、データを隠蔽され調査不能になると事実認定が困難になる人物。ある程度幅広に実施することが望ましい
• 調査対象:保全を実行した人物のうち、不正に直接関連する人物。解析以降のフェーズに進める

ここでの鉄則は、保全の段階では絞りすぎないことです。保全していないデータは、後から必要と気づいても既に消えている可能性があります。逆に、保全さえしておけば、解析・レビューの段階で対象を絞り込むことはいつでもできます。「広く保全し、狭く調査する」──この順序を守ることが、後悔しない調査設計の基本です。

対象データは、種類と対象期間の2要素から検討します。一般的にはコミュニケーションデータが重要であり、メールやチャットが主たる調査対象となります。ただし、循環取引のような事案では、取引を管理する「管理表」のようなドキュメントデータが決定的な証拠になるケースもあります。事案の性質によって、何が「効く」データなのかは変わってきます。

期間については、事案の発生期間が明確でロジカルに限定できる場合には区切って保全する方法がある一方、保全時点では制限をかけずに広く保全し、解析以降で期間を絞るアプローチも有効です。ここでも「保全は広く」の原則が生きてきます。

実務で頻繁に論点となるのが、私物スマートフォン等の扱いです。個人所有のデバイスについては、強制捜査機関でない限り、本人の同意がなければ保全ができません。これは、費用を会社が負担しているBYOD端末でも同様です。

一方、会社貸与デバイスについては、業務命令として提出を求めることが可能な場合が多いと考えられます。ただしその場合でも、就業規則などに提出要求が可能であることを明記しておくことが望ましいでしょう。御社の就業規則には、この規定があるでしょうか。有事になってから確認するのでは遅い項目の一つです。

電子データは、意図的な消去がなくても、時間の経過とともに消滅していく可能性があります。実務で目にする消滅パターンは、大きく2つです。

意図的な隠蔽の例としては、「パスワードがわからない」と言ってデバイスを持ち帰り初期化してしまう、調査対象者がクラウドへのアクセス権限を利用してデータを削除してしまう、メールの保存期間設定を変更して古いデータを消去してしまう、といったケースが挙げられます。調査の気配を察知した対象者が、証拠隠滅に動くリスクは常に想定しておく必要があります。

自然な消滅も侮れません。PCやモバイルのリプレイスによる過去データの喪失、メール完全保存期間(例えば5年)の経過による段階的なデータ消失、バックアップ保持期間の超過──いずれも、悪意がなくとも証拠が失われていく典型例です。

だからこそ、疑義が生じた際の迅速な証拠保全が、調査の成否を分ける分水嶺となるのです。

保全したデータに対しては、削除データの復元や重複データの削除といった処理を行います。通常の操作でファイルやメールを削除しただけでは、データが記憶媒体から完全に消えるわけではなく、ファイル管理情報やデータ本体が破損していなければ復元できる可能性があります。

ただし、復元は万能ではありません。データ領域への上書きが繰り返されると復元は不可能になりますし、SSDの場合はデータ削除後に完全削除の特殊コマンドが実行される仕様上、復元の可能性は極めて低い場合が多いのが実情です。時間が経過するほど復元は困難になる──この限界は、調査の期待値を適切に設定するうえでも、関係者に事前に説明しておくべきポイントです。「削除されていても復元できるはず」という過度な期待は、調査方針を誤らせることがあります。

なお、複数の調査対象者間で送受信された同一メールは重複して保全されます。AさんからBさんへのメールは、Aさんの送信ボックスとBさんの受信ボックスの双方に存在するためです。こうした重複データを削除することで、レビュー対象の母集団を減らし、効率的なレビューにつなげます。

解析フェーズでは、パスワードで保護されたファイルやデバイスの解析も行います。ゼロからの解析も不可能ではないものの、情報のない状態での解析は総当たり形式となり、膨大な時間を要します。文字数が多く、大小文字・数字・記号が組み合わされたパスワードでは、総当たりでの解読に天文学的な時間がかかることもあります。

実際の調査現場では、当局対応などで時間が限られていることも多く、総当たり解析は現実的ではありません。関係者からの情報収集や、過去に使われていたパスワードの傾向分析など、別のアプローチとの組み合わせが必要になります。

保全したデータをすべて人の目でレビューするのは現実的ではありません。母集団が数十万件、時には百万件を超えることも珍しくないためです。そこで、リスクアプローチの観点から、キーワードなどのロジックによる絞り込みを行います。

例えば、独禁法(カルテル・談合)案件であれば、次のような絞り込みロジックが考えられます。

• 金額指定に関する文言:「最低価格」「X円で」「価格競争」
• 受注調整に関する文言:「順番 and 回」「案件 and (A社 or B社 or C社)」
• 非公式な接触・隠蔽を示す文言:「電話で or 会って」「食事会 or 会食」「オフレコ」「秘密」「例の」
• メールアドレス条件:当事会社ドメイン間の送受信に限定
• 期間条件:談合が行われた期間(類似案件が想定される場合はその期間も含める)

「オフレコ」「例の」といった一見何気ない言葉が絞り込みの鍵になる点は、興味深いところではないでしょうか。不正に関するコミュニケーションは、直接的な表現を避けて行われることが多いためです。実際の絞り込みでは、より多くのキーワードや除外キーワードを組み合わせ、動機・機会・正当化の観点から想定されるやり取りを幅広く予測して設計します。

レビューは複数名によるチームレビューで実施されるのが通常です。ここで問題になるのが、レビュアーごとの品質のバラツキ。同じメールを見ても、ある人は重要と判断し、別の人は見過ごす──これでは調査の信頼性が揺らぎます。これを防ぐために作成するのが「レビュー手順書(レビュープロトコル)」です。

手順書には、事案の概要と、ドキュメントの重要性をどう判断しどうタグ付けするかの基準を記載します。例えば「極めて関連性が高い」「関連性がある」「関連性がない」「データに問題がある」の4分類でタグ付けし、関連性のあるものにはコメントを付す、といった運用です。判断基準を言語化して共有することが、チーム全体の品質を底上げします。

さらにレビューの質を高めるには、不正のトライアングル(動機・機会・正当化)の観点から自分なりの仮説を立て、検証しながらレビューを進めることが有効です。

上司からのプレッシャーはあったのか。それは本当に直属の上司からのものか。独断専行できる権限を有していたのか。1線・2線でのコントロールは機能していたのか。「皆がやっている」「会社全体の雰囲気的に仕方なかった」という空気はなかったか──。こうした仮説を持ってデータに向き合うことで、重要なメール・ドキュメントの拾い漏れを防ぐことができます。単にキーワードで機械的に拾うのではなく、事案の構造を理解したうえで読み解く姿勢が、質の高いレビューを支えます。

フォレンジック業界でも、AIの利用は急速に進みつつあります。代表的な活用例が「AIによる分類」です。母集団の一部を人がレビューして重要・非重要を仕分けし、その結果を未レビューのドキュメント群に適用することで、残余母集団から重要メールをAIが抽出する、という手法です。人手だけでは現実的でない規模のデータも、この仕組みによって効率的に処理できます。

ここからは、実務の現場で実際によく寄せられる質問を、Q&A形式でご紹介します。

疑いのある人物に直接問いただすと、態度を硬化させたりデータを削除されたりするおそれがある──よくあるご相談です。

まず確認すべきは、本人の協力なしにどこまで調査が可能かという点です。一般的には、メールサーバやチャットサーバから管理者権限でデータを抽出すれば、本人に知られることなく調査が可能です。なお、IT担当者が調査対象者と懇意な関係にないかを事前に確認しておくことで、調査情報の漏洩リスクを抑えることができます。PCのリプレイス等の機会を活用してデバイスを保全する方法も考えられます。

売上前倒しや架空計上のように関与者が多い事案では、まず不正の原因について仮説を立てることが出発点になります。

例えば、予算への強いプレッシャーの中で課長が不正を指示していた場合、予算に責任を持つのがより上位者であるなら、部門役員までを調査スコープに入れることが考えられます。逆に課長以下のメンバーは、課長とのやり取りの中で関与度合いを検討する、という整理です。ただし、個人の評価が絡む事案では部下が積極的に不正を実行しているケースもあり、その場合は部下もスコープに含める必要があります。

PCの操作ログで社内ドライブからの大量ダウンロードは確認できたものの、その後の動きが判然としない──情報持ち出し事案でよくある局面です。

操作ログは調査対象情報の一部にすぎません。例えば、メールを保全して機密情報の外部送信がないかを確認する、ログの前後数か月のUSB等の外部デバイス接続ログを確認する(接続が確認できればUSBの復元処理でデータ移行の形跡を調べる)、ヒアリングの機会を設けてその場で個人ドライブや個人メールの確認に協力してもらう、といった追加調査の組み合わせが考えられます。一つの痕跡から、関連する痕跡へと調査を広げていく発想が重要です。

ここまで有事の調査実務を見てきましたが、実は調査の効果を最も大きく左右するのは、平時の備えです。データは消去・消滅のリスクを常に抱えており、「調査したくてもできない」状況は現実に起こり得ます。具体的には、次のような対策が考えられます。

• メールアーカイブシステムの導入や、訴訟ホールド機能付きのメール・チャットシステムの採用により、削除データも含めた全データを保持可能な状態にしておく
• デバイスのリプレイス時に、リプレイス前のローカルデータをバックアップすることを運用として義務付けておく
• MDM(Mobile Device Management)の導入により、USBへの書き出し防止や不適切なアプリケーションの導入制限を行う
• ログデータを取得可能なアプリケーションの導入により、有事の際のログ分析や、大量ダウンロード等の不自然な動きの検知を可能にしておく
• 就業規則への明記により、有事の際に会社から貸与デバイスの提出依頼ができるようにしておく

いずれも、有事になってからでは間に合わない施策ばかりです。これらの備えは、単に調査を容易にするだけでなく、「不正をしても必ず記録が残る」という抑止力としても機能します。自社の現状をチェックリスト的に点検してみると、意外な穴が見つかるかもしれません。

本コラムのポイントを整理します。

デジタル･フォレンジックは、改ざん前のローデータであるコミュニケーションデータ等を検証する、現代の不正調査に欠かせない技術です。調査は計画・保全・解析・レビュー・報告の流れで進み、とりわけ迅速な保全が調査の成否を分けます。データ復元は万能ではなく、パスワード解析にも限界があるからこそ、レビュー手順書や仮説検証による品質担保、そして何より平時の備えが重要になります。

不正の疑義が生じた際、最初の数日間の判断が調査全体の成否を左右することは、決して誇張ではありません。初動対応や証拠保全、調査体制の整備について、あらかじめ専門家と相談できる関係を築いておくことも、有効な「平時の備え」の一つと言えるでしょう。

不正調査・デジタル･フォレンジック調査、および平時のモニタリング体制の整備に関するご相談は、株式会社foxcaleまでお気軽にお問い合わせください。

免責事項

本コラムは、ハラスメント予防およびコンプライアンスに関する一般的な情報提供を目的として作成されています。記載内容は執筆時点の情報に基づいており、法改正や制度変更により最新の状況と異なる場合があります。本コラムの内容は個別具体的な法的アドバイスや専門的意見を構成するものではありません。実際の案件・対応については、弁護士・公認会計士等の専門家にご相談ください。