(URLダミー)
記録内容は、プロバイダによって違うと思います。
おそらく、不正アクセスを受けたサーバー側にご友人のIPアドレス・時間などがアクセスログに記録されており、プロバイダがそのIPアドレスの利用者を記録していると思います。
プロバイダはご友人の無線LANアクセスポイントのWAN側のMACアドレスまたはIPアドレスを記録していたので、ご友人の所へ警察が来たと推察しております。
アクセスポイントが、ルーターになって(内側を隠している)いるので、端末まではわからないと思います。
逆に、中途半端にセキュリティーを上げると、踏み台にされたとき厄介に思いました。踏み台にされても、セキュリティ対策していないと、「知らなかった」で関与を否定できそうですね。でも、いやなものですね。