イベントID 4740（アカウントがロックアウト）の原因元の探し方

イベントID 4740 は、ユーザーアカウントがロックアウトされるたびに記録されます。ドメインのアカウントなら、ドメインコントローラーに残ります。「Caller Computer Name」に、ロックの原因になった認証要求の送信元コンピューター名が入ります。

どこで確認するか

ドメインコントローラーのイベントビューアー →「Windows ログ」→「セキュリティ」で、イベントID 4740 を絞り込みます。

見る項目

• Account That Was Locked Out の Account Name：ロックされたアカウント
• Additional Information の Caller Computer Name：ロック元になったコンピューター名

よくある原因

• 変更前の古いパスワードを保存したままのPC・スマホ・メールアプリ
• 古い資格情報を使い続けるタスク・サービス・マップしたドライブ
• 総当たり攻撃（短時間に多くのアカウントが続けてロックされる）

手順

1. 4740 の Caller Computer Name を確認する。
2. そのコンピューターで、保存されている古い資格情報（資格情報マネージャー、サービス、タスク）を見直す。
3. 同じ時間帯に、そのコンピューターで 4625 が出ていないか確認し、失敗理由を調べる。

PowerShell で絞り込む

直近1日の、このイベントを取り出すコマンドの例です。Get-WinEvent の -FilterHashtable を使います。

Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4740; StartTime = (Get-Date).AddDays(-1) } |
  Select-Object TimeCreated, Id, Message

セキュリティログの読み取りには、管理者権限が必要な場合があります。期間は、AddDays(-1) の数字で変えられます。複数台のログは、各コンピューターで実行するか、ログ収集の仕組みで集めます。

よくある質問

あわせて読みたい

• 4625アカウントのログオンに失敗した記録。失敗の理由は「状態」「サブ状態」のコードで分かる。
• 4776ドメインコントローラーがNTLM認証の資格情報を検証した記録。エラーコードが 0x0 以外なら失敗。

出典・参考

• 4740(S) A user account was locked out（Microsoft Learn）
• Get-WinEvent（Microsoft Learn）

確認日: 2026-10-28　掲載内容について