Mira pues IMHO esto solo es posible si tenes habilitado auditoria para la carpeta donde esta colocado el fichero....
Caso contrario creo que no es posible...
Porque visor de sucesos por defecto solo almacena el ID de usuario cuando se logea de manera local al servidor... Usando Tservices por ejemplo.
Ahora bien, una buena recomendacion es qe utilices Auditoria de Ficheros para que no vuelva a pasarte esto...
Muchas veces los errores se dan mas por ignorancia o descuido que de verdad por mala intencion...
Otra cosa, habilita tambien Shadow Copie en la carpeta para volver a versiones anteriores de ficheros cuando te suceda esto..
De todos modos aunque sepas quien fue... Ya poco podes hacer, aparte de torturarlo claro
Y hacer que digite 10 MEGAS de texto plano
Saludos