2026年4月、東証グロース上場企業で起きた事件です。犯人が特別に高度だったわけではありません。分岐点になったのは、銀行サイトの設定2か所と、社内チャットの一言でした。
4月20日 午前8時2分、経理部長の私用携帯に着信
電話の主は千葉県警を名乗り、大規模なマネーロンダリング事件を捜査していると告げました。そして、経理部長本人に関与の疑いがあり逮捕・勾留されること、社長と本部長も捜査対象であること、家族にも話してはいけないことを伝えます。ビデオ通話では警察手帳らしきものと、本人名義の逮捕状の画像が示されました。
経理部長は、以降のすべての作業を「捜査協力」だと信じます。指示に従って家族を外出させ、遠隔操作アプリを会社PCにインストールしました。ここから先、送金操作をしていたのは詐欺グループ本人です。
送金のたびに二段階認証が必要でしたが、そのたび別室から呼び出され、画面をよく見ないまま承認しました。「これは凍結口座への振込で、捜査が終われば資金は戻る」と説明されていたためです。
17分間の通話。以降、複数の番号から接触が続く。
経理チャットに投稿。この日、社内から姿が見えなくなる。
3分後、外部からの接続が確立。PCの操作権が犯人側に移る。
犯人が振込を申請し、経理部長が二段階認証を通した。
ここで打ち止めのはずだった。
「給与支払いのため」という説明で社内承認を取得。
以降、補充と送金が夜まで繰り返される。
不審な送金として銀行側が検知。しかし社内で止まらなかった。
通話をつないだまま就寝するよう指示される。
「朝一で資金移動を」とチャットで指示。
11:08、家族の携帯を借りて110番。詐欺だと知る。
報告書は「この設定さえできていれば防げた」と明言しています
社内規程には職務分掌が書かれ、日常業務でも担当は分かれていました。銀行サイトの権限設定だけが規程とズレていたのです。経理部長が部長に昇進した際、本来は作成権限を承認権限に「置き換える」べきところ、作成権限に「加えて」承認権限が付与されました。誰もそれを把握していませんでした。
経理部長のアカウントの承認上限は、開設時の初期値のまま放置されていました。事実上、口座残高が尽きるまで無制限です。本部長は「上限額は経理部長が管理していると思っていた」、経理部長は「責任者は本部長だと思っていた」と述べています。
同じアカウントに作成権限と承認権限を同時に設定できない銀行側の仕様だった。X銀行から外部への直接流出は、1円もなし。
同一アカウントで完結できる設定になっていた。犯人は経理部長のIDだけで、作成から承認まで全工程を実行できた。11億7,981万円が流出。
この会社を守っていたのは自社の統制ではなく、たまたまX銀行のシステム仕様でした。
両行とも、入出金の都度メール通知する機能や、残高が設定額を下回ったら知らせる機能を有料オプションで提供していました。はてな社は未契約。前任者の頃からの運用をそのまま引き継ぎ、退職後も必要性が再検討されることはありませんでした。この通知があれば、11:41の1件目で気づけた可能性が高い。実際に異常が把握されたのは、翌日の11時過ぎです。
自社口座間の「資金移動」には、社内ルールが一切ありませんでした
振込には「作成→確認→承認」の3段階フローがありました。しかし自社の口座から自社の別口座への資金移動には、明文のルールが存在しませんでした。経理部長がチャットで指示すれば動く。高額時に本部長の承認を取るのは、経理部長個人の習慣にすぎませんでした。だから、その習慣は本人の判断で省略できました。
3分で3億円が承認されました。理由が「給与支払い」なら通常の資金の動きだったため、疑念は持たれませんでした。
そして経理部長はこの返信を「必要なら自分の責任でやれ」と受け取り、以降6回・計6.4億円の資金移動では、本部長にメンションすらしませんでした。本部長はチャットを見られる立場でしたが、自分宛のメンション以外はほとんど見ていませんでした。
気づいた人は、いました。
残高の異常も、見知らぬ振込先も、担当者は正しく発見しています。しかし2分後にこう返され、それ以上踏み込めませんでした。以降、深夜に及ぶ異常な頻度・金額・時間帯の指示に対しても「部長のことだから何か理由があるのだろう」と考え、ミスなく確実に処理することを選びました。
銀行は検知していました。
しかし本部長は、自分が承認した3億円の給与用資金移動のことだろうと判断し、口座の入出金明細を直接見ることはしませんでした。同じ時間帯、銀行は経理部長にも2回架電していますが、いずれも応答されていません。
「詐欺に引っかかった経理部長」で片づけると、学べることがゼロになります
報告書は、なぜ社内に第一報を入れず単独で動いてしまったのかについて、会社との信頼関係の欠如を遠因として挙げています。「自分の潔白を証明すること」が最優先になった、と。
監査役会は3年間、監査計画の重点項目を変えていませんでした。所要時間は41回中40回が30分以下。内部監査は他部門との兼務者2名体制。セキュリティ理解度テストの平均点は9割超で、事前学習なしでも正答できる内容でした。過去に大きな事故がなかったことが、確認する意識を鈍らせていた──これが報告書の総括です。
上場企業より、私たちのほうが危ない項目に印をつけています
従業員数十名規模の会社では、「作成者と承認者を分ける」が構造的に成立しにくい場面があります。だからこそ、はてな社が持っていなかった補償的な仕組みのほうが効きます。順番に意味があります。上から潰してください。
記憶や規程ではなく、実際に管理画面を開いて確認してください。ズレはたいてい、書類ではなく画面のほうにあります。
報告書は、「こんな手口に引っかかるとは」という見方をはっきり退けています。特殊詐欺の手口は日々変化していて、リテラシーがあっても騙されうる。だから個人のリテラシーだけに依存することは、組織の資産を守るという点で不十分だ、と。
1人の従業員の問題ある行為を、仕組みで防ぐ。防げなくても、被害額を仕組みで抑える。今回は、その仕組みが2か所欠けていました。
そして報告書はこう書いています。役職員が優秀で、自主性とリテラシーを備えていて、過去に大きな事故がなかったことが、基本的な統制を改めて確認する意識を鈍らせていたのかもしれない、と。
これは、うちにもそのまま当てはまる話だと思います。