Cách xem nhật ký đăng nhập Windows để biết ai đã dùng máy

Nếu bạn nghi ngờ có người mở máy tính của mình khi vắng mặt, Windows có sẵn nhật ký ghi lại các lần đăng nhập thành công, thất bại, thời điểm tắt mở máy. Bạn chỉ cần dùng công cụ Event Viewer (Trình xem sự kiện) mà không phải cài thêm phần mềm nào.

Bài hướng dẫn trên Windows 11, Windows 10 làm tương tự. Lưu ý nhật ký này cho biết tài khoản nào đăng nhập lúc nào, chứ không cho biết gương mặt của người ngồi trước máy.

Cần chuẩn bị gì?

• Đăng nhập bằng tài khoản quản trị (Administrator), vì nhật ký Security cần quyền này.
• Biết khoảng thời gian bạn nghi ngờ (ví dụ chiều hôm qua khi bạn đi vắng).
• Nếu máy dùng chung, ghi lại tên các tài khoản để dễ đối chiếu.

Cách 1: Xem nhanh thời điểm bật, tắt, ngủ máy

Cách này không cần quyền quá sâu và rất hữu ích để thấy máy có bật vào giờ lạ hay không.

1. Bấm chuột phải vào nút Start, chọn Event Viewer (Trình xem sự kiện).
2. Ở cột trái, mở Windows Logs (Nhật ký Windows), chọn System (Hệ thống).
3. Ở cột phải, bấm Filter Current Log (Lọc nhật ký hiện tại).
4. Trong ô Event sources, chọn Kernel-General, Kernel-Power hoặc Power-Troubleshooter, hoặc gõ các mã sự kiện như 6005 (nhật ký khởi động) và 6006 (nhật ký tắt).
5. Bấm OK, đối chiếu cột Date and Time.

Nhờ đó bạn biết máy được bật hoặc thoát chế độ ngủ vào lúc nào.

Cách 2: Xem các lần đăng nhập thành công

1. Mở Event Viewer như trên.
2. Vào Windows Logs, chọn Security (Bảo mật).
3. Bấm Filter Current Log.
4. Ở ô Event IDs, gõ 4624 (đăng nhập thành công) và có thể thêm 4634 (đăng xuất).
5. Chọn khoảng thời gian ở ô Logged, ví dụ Last 24 hours, rồi bấm OK.
6. Bấm vào từng dòng, đọc tab General để xem Account Name (tên tài khoản) và Logon Type (kiểu đăng nhập).

Hiểu nhanh Logon Type

• 2: đăng nhập trực tiếp tại máy (bàn phím, màn hình).
• 7: mở khóa màn hình.
• 10: đăng nhập từ xa qua Remote Desktop.
• 3: đăng nhập qua mạng, thường là truy cập thư mục chia sẻ.

Nhật ký có rất nhiều dòng do chính hệ thống tạo ra (tài khoản dịch vụ như SYSTEM). Hãy tập trung vào tên tài khoản của người dùng và kiểu 2, 7, 10.

Cách 3: Xem các lần đăng nhập thất bại

Nếu ai đó thử đoán mật khẩu, sẽ có mã 4625.

1. Trong Security, chọn Filter Current Log.
2. Gõ 4625 vào Event IDs, bấm OK.
3. Xem tên tài khoản và thời gian. Nhiều lần thất bại liên tiếp cho thấy có người thử mật khẩu.

Nếu bạn dùng Windows Home mà thấy ít sự kiện hơn mong đợi, một số mục kiểm tra có thể chưa được bật tùy cấu hình máy.

Cách 4: Dùng PowerShell nếu quen dòng lệnh

Mở Windows PowerShell (Admin) bằng cách bấm chuột phải Start, chọn Terminal (Admin), rồi gõ:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 20

Lệnh trên liệt kê 20 lần đăng nhập thành công gần nhất. Đổi Id=4624 thành 4625 để xem lần thất bại.

Nếu thấy dấu hiệu bất thường thì làm gì?

1. Đổi mật khẩu hoặc mã PIN tài khoản Windows ngay. Xem cách đặt mật khẩu hoặc PIN đăng nhập máy tính.
2. Nếu thấy đăng nhập kiểu 10 mà bạn không dùng, tắt Remote Desktop và đọc thêm về máy tính bị điều khiển từ xa trái phép.
3. Kiểm tra danh sách tài khoản, xóa tài khoản lạ trong Settings (Cài đặt) > Accounts (Tài khoản).
4. Bật khóa màn hình khi rời máy bằng Windows + L.
5. Với máy cần bảo vệ dữ liệu, xem thêm cách mã hóa ổ cứng bằng BitLocker.

Muốn đọc kỹ hơn các lỗi hệ thống khác, tham khảo cách đọc Event Viewer để tìm nguyên nhân lỗi máy.

Giới hạn của nhật ký

• Nhật ký chỉ lưu theo dung lượng giới hạn, sự kiện cũ có thể bị ghi đè.
• Người có quyền quản trị có thể xóa nhật ký.
• Việc dùng máy bằng tài khoản của bạn khi bạn đã để máy mở sẽ không phân biệt được người dùng thật.

Cần hỗ trợ thêm?

Nếu bạn nghi máy đã bị cài phần mềm lạ hoặc có người truy cập trái phép, hãy mang máy tới Cường Tech để kiểm tra miễn phí qua trang sửa chữa, kỹ thuật viên sẽ báo giá trước khi xử lý. Có thể gọi 0943.847.333 để được hướng dẫn trước.