jedine pokial si mal ako administrator zapnuté logovanie činnosti užívatelov,alebo pokial si na webe nájdeš program,ktorý dokáže čítať skryté ntfs streams,tam sa dá zistiť,kedy ktorý súbor bol použitý a čím,prípadne môžeš ako admin čítať perf counters windows media playera cez systémové utility integrované vo windows,tam zistíš kompletnú aktivitu od inštalácie win až po súčasnosť...