「11億円を自ら振り込んだ」エンジニア集団の悲劇 はてなを襲った巨額詐欺、IT企業の意外な盲点（1/4 ページ）

[大杉春子，ITmedia]

著者紹介：大杉春子（おおすぎ・はるこ）

レイザー代表取締役／RCIJ代表理事

コミュニケーション戦略アドバイザーとしてPR戦略の企画から危機管理広報まで、企業・行政のブランド価値向上を包括的に支援。

日本において唯一、コミュニケーション戦略におけるリスク管理に特化したカリキュラムを展開する日本リスクコミュニケーション協会（RCIJ）を2020年に設立。

上場企業や防衛省での豊富な実績を持つ。

　「あの技術力に定評のある『はてな』が、なぜ――」

　4月24日、東証グロース上場のはてなが発表したニュースは、IT業界のみならず日本の経営層に激震を走らせた。悪意ある第三者からの「虚偽の送金指示」に従い、最大約11億円という巨額の資金を外部口座へ送金してしまったというのだ。

　事案が発生したのは4月20日と21日のわずか2日間。発表直後、筆者が参加したある経営者たちの会食でもこの話題が挙がった。「正直な話、どの会社でも起きると思った」――その場にいた一人が漏らした言葉に、皆が頷いていた。

　ブログや開発者向けサービスで知られる「はてな」は、長年日本のネット文化を技術で支えてきた企業だ。その同社が、古くからある「ビジネスメール詐欺」（BEC）に起因するとみられる資金流出の被害を受けた。株式市場の反応は冷淡だった。ストップ安という結果は、投資家がこの事案を「経営の根幹を揺るがす問題」と受け止めたことを如実に示している。

　その会食の席で意識の高い経営者は「翌日すぐ顧問先に送金フローを見直すよう連絡した」と話していた。

　つまり、これは「あの会社が特別に脇が甘かった話」ではない。どの業種の、どの規模の会社でも起こり得るリスクだ。

はてなの事件は、どの規模の会社でも起こり得るリスクだ（写真提供：ゲッティイメージズ）

「技術に強い」会社が陥った盲点

　今回の事案で、注目したいのは被害の構造だ。

　適時開示には「当社の従業員のアカウントより、当社の銀行預金口座から外部の口座への送金が実行された」とある。つまり、外部からシステムに不正侵入されたわけではない。悪意ある第三者から虚偽の送金指示を受けた従業員が、自らの手で送金操作を実行したのだ。

　IT企業は、Webサービスの脆弱（ぜいじゃく）性やサーバへの不正アクセスに対して、非常に高い水準のセキュリティを構築している。多要素認証も、チーム全体で暗黙知を共有する「コードレビュー」も当たり前だ。ところが「お金を動かすプロセス」については、驚くほどアナログで、属人的な運用が残っている場合も多い。

　エンジニアリングには「バグを許さない」文化がある。しかしバックオフィスのワークフローには、その厳しさが及んでいない場合がある。デジタルサービスを事業の核とする企業が、内部統制においては意外なほど古典的な弱点を抱えているのだ。そのギャップが、今回の被害を生んだと考える。