tu peux monitorer les accès aux fichiers, mais pas ce qu'il en fait (consultation, copie).
Maintenant, si il accède à tous les fichiers d'un répertoire sur la même minute, il y a une forte chance que ce soit une copie en vrac...