はてな、11億円流出の調査報告書を公開　偽警察、口外禁止、残業・休出200時間超、孤立……ほころびが連鎖（1/2 ページ）

公開 2026年07月28日 18時23分

更新 2026年09月03日 11時02分

[ITmedia]

印刷する Googleで優先するソースとして追加

　はてな（京都市中京区）は7月24日、特別調査委員会がまとめた資金流出事案の調査報告書を公開した。事案は4月に発生したもので、報告書では、経理部長が警察関係者を名乗る詐欺グループに「捜査協力」と信じ込まされ、業務用PCを遠隔操作されたと認定。加えて、オンラインバンキングの権限設定や経理体制の不備が被害を拡大させたと指摘した。

"はてなが公表した調査報告書（出典：はてなの発表資料より、以下同）

「捜査協力」と信じ込まされ、家族への口外も禁じられる

　発端は4月20日午前8時2分。経理部長のH氏の私用携帯に詐欺グループから電話があり、大規模な資金洗浄事件を捜査中であること、H氏自身にも関与の疑いがあり出頭が必要であることなどを告げられた。

　詐欺グループは通信アプリのビデオ通話で「警察手帳」や「検察官証」とされるものを提示し、栗栖義臣社長ら経営陣も捜査対象だと説明。家族への口外を禁じられ心理的に孤立したH氏は、真偽を確かめる間もないまま指示に従った。

詐欺グループとの最初の接触。大規模な資金洗浄事件を捜査中であること、H氏自身にも関与の疑いがあることなどを告げられた

　同日午前10時39分、H氏は詐欺グループの指示でリモートデスクトップアプリをダウンロードして実行。これにより詐欺グループは業務用PCを直接操作できる状態となり、午前11時41分には詐欺グループ自らがPCを遠隔操作し、Y銀行の口座から9999万円を送金した。

　振込の完了には、H氏の携帯に表示される振込内容を本人が確かめる二段階認証が必要だったが、H氏は詐欺グループから「凍結口座への振込で後で資金は戻る」と説明を受けて信じ、表示内容を十分に確認しないまま自ら認証操作を行った。

「給与出金の準備」を理由に3億円の資金移動を依頼するやりとり

　同社は、メインバンクのX銀行に大半の資金を置き、そこからY銀行に移した資金で給与などを支払う運用をしていた。詐欺グループが送金に使ったのはY銀行の口座で、その残高が尽きると、詐欺グループはH氏を通じてX銀行からの資金補充を指示。

　H氏は「給与出金の準備」という虚偽の理由でX銀行からY銀行への3億円の資金移動について田中慎樹取締役コーポレート本部長の承認を得た。さらにその後は上司への承認依頼を省き、部下に作成を依頼して自ら承認する形で6回・計6億4000万円の資金移動を重ねた。

部下の指摘、銀行の照会。止め得る機会は何度もあった

　この間、部下が異変に気付く場面もあった。資金移動の確認を担う部員が「口座残高が少額になっている。見知らぬ相手先への資金移動もある」とチャットで指摘したが、H氏が「状況を把握済みなので後ほど説明する」と返すと、それ以上の追及は止まった。

　以降、この部員は夜遅くまで繰り返し届く異常な頻度の資金移動指示にも「部長のことだから何か理由があるのだろう」と応じ続けたという。

部下のD氏は異変を指摘したが、H氏の返答で追及が止まった｜部下のD氏は異変を指摘したが、H氏の返答で追及が止まった

　流出を止め得る機会は銀行側からも訪れていた。20日夕方、Y銀行から田中取締役に「9999万円の入金が3回あったが、これは何か」と電話で照会があった。しかし田中取締役は、自身が承認した給与支払い用の資金移動だと解釈して問題ないと判断し、口座の入出金を直接確認しなかった。Y銀行は同時間帯にH氏へも2回架電したが、詐欺グループとの通話中だったH氏は応答しなかった。

　送金は深夜まで続き、翌21日午前にもX銀行からY銀行へ1億9000万円を移動。詐欺の発覚は、H氏が21日午前11時にY銀行の窓口に電話し、通話の途中で冷静さを取り戻して110番通報したときだった。ほぼ同時刻、Y銀行から不審な支払いの連絡を受けた田中取締役も口座を確認し、不正送金を認識した。

Y銀行からの照会。田中取締役は問題ないと判断した

　被害額は合計11億7981万円。いずれもY銀行の口座からの不正送金で、このうち9億4000万円はX銀行から補充のために移した資金、残りは事案発生時点でY銀行の口座にあった資金にあたる。

　個人情報や顧客情報を外部に持ち出した形跡は確認できなかったが、報告書では、遠隔操作中に画面に表示していた残高や取引履歴を詐欺グループが視覚的に把握した可能性は排除できないとしている。

個人の判断ミスを止める組織の仕組みもなく

　報告書が最も重く扱ったのは、1人の判断ミスを組織が止められなかった点だ。経理規定では振込データの作成者と承認者を分ける定めがあったが、Y銀行のオンラインバンキング上ではH氏のアカウントが作成・申請権限と承認権限の両方を持っており、単独で振込を完了できる状態だった。

　前任者が引き継ぎの過程で自身と同じ権限を設定したと推察している。一方のX銀行は同一アカウントに両方の権限を設定できない仕様で、こちらの口座から外部への流出はなかった。

　加えて、そもそも社内の資金移動には明確なルールがなく、経理部長がチャットで指示するだけで実行できた。おおむね1000万円以上の多額の場合は事前に田中取締役の承認を得る運用があったが、これはH氏が自主的に行っていた個人ルールにすぎず、実際に2回目以降の資金移動では機能しなかった。

オンラインバンキングの権限付与状況。Y銀行ではH氏単独で振込を実行できる設定だった

　また、承認上限金額も設定していなかった。H氏のアカウントは初期設定の9999億9999万9999円のまま運用しており、事実上、口座残高の上限まで払い出せる状態にあった。入出金や残高低下を知らせる有料のセキュリティオプションも未契約で、異常な出金の検知が遅れた。権限設定を定期的に棚卸しするルールもなく、管理者すら明確に決まっていなかった。

次ページへ入社4カ月で経理部長、残業・休出は200時間超……