はてな、11億円流出の調査報告書を公開　偽警察、口外禁止、残業・休出200時間超、孤立……ほころびが連鎖（2/2 ページ）

公開 2026年07月28日 18時23分

更新 2026年09月03日 11時02分

著者

林裕也

[ITmedia]

印刷する Googleで優先するソースとして追加

入社4カ月で経理部長に、残業と休日労働で月200時間超

　背景には経理部の混乱がある。12年勤めた経理部長ら2名が2024年7月期の本決算直前に退職し、業務マニュアルのないまま属人化した業務を後任が引き継ぐことになった。その後任も半年ほどで退職し、入社4カ月のH氏が25年2月に経理部長へ昇進。

26年4月20日時点の経理部の体制。いずれも社歴は短い（編集部で画像を一部加工）

　決算期の25年7月には残業と休日労働で計140時間、翌8月には残業102時間・休日労働100時間の計203時間に達し、H氏は体調を崩して休職。26年2月に復職したばかりだった。

H氏の残業時間と休日労働時間。25年8月は計200時間を超えた（編集部で画像を一部加工）

　報告書は、H氏と会社の信頼関係の欠如も遠因に挙げた。同社はH氏の休職中、復職できない可能性も考慮して経理経験の豊富なC氏を経理副部長として採用。H氏は、自身の業務や役割をC氏に代替されるのではないかとの不安を抱いていた。

　復職後も、会社側が残業の原因を「指示していない業務を自らの判断で行ったため」と捉えたのに対し、H氏は「夕方からの上司との打合せで指摘された事項に対応するには残業せざるを得なかった」と受け止めており、認識の相違から上司への不信感を強めていた。

　こうした状況が、詐欺グループからの電話を社内の適切な部署へ相談せず、単独で対応したことにつながったと分析している。

情報セキュリティ面の不備も

　情報セキュリティ面でも不備があった。同社では貸与PCに管理者権限を付与しており、従業員が自由にソフトウェアを導入できる状態だった。リモートデスクトップアプリの起動ログは記録していたが、監視で気付くことはできず、未承認アプリの実行を止める仕組みもなかった。

　また、H氏はパスワードマネージャーの利用を定めた社内ルールに反し、オンラインバンキングのIDとパスワードを、保護をかけていないExcelファイルでデスクトップに保存していた。PCを乗っ取った詐欺グループはこのファイルを閲覧でき、銀行口座へのアクセスを許すことになった。

パスワードをデスクトップに保存していたことを指摘する（編集部で画像を一部加工）

社長ら報酬20％を6カ月返上

　調査委員会は再発防止策として、資金移動をチャットではなくワークフローシステムで申請・承認すること、オンラインバンキングの権限管理を経理部以外の部署に任せること、承認額の上限をルールとして明文化すること、遠隔操作系アプリの実行を一律で制限すること、偽警察型詐欺を想定した研修を年1回実施することなどを提言した。

　総括では、規定通りに1人で振込を完了できない設定にしてさえいれば流出自体を防げ、上限額を適切に設定していれば被害の拡大も抑えられたと指摘している。

　同社は経営責任を明確にするため、栗栖社長と田中取締役がそれぞれ月額報酬の20％を6カ月間自主返上すると発表した。田中取締役は次回の株主総会での任期満了をもって取締役を退任する意向。再発防止策の詳細は決定次第公表するとしている。