2026年7月24日、株式会社はてな（3930）が調査報告書を公表しました。東証グロースの会社が設けた、特別調査委員会の報告書です。
事案が起きたのは、同年4月20日と21日の2日間です。経理部長が「千葉県警察」を名乗る詐欺グループの「捜査協力」を信じ込みました。会社のPCは遠隔操作されました。銀行口座から外部へ送金された額は、約11.8億円です。
正直、この報告書を読みながら、何度も背筋が寒くなりました。送金や資金移動に関わる経理の一人として、考えずにいられませんでした。自分なら防げたか、と。
報告書の開示版から、経理の現場で確かめるべき点を整理します。
何が起きたのか
経理部長は、報告書では「H氏」と書かれています。経理経験は約19年半。私用の携帯電話に、警察関係者を名乗る電話がかかってきました。
詐欺グループは、ビデオ通話で「警察手帳」とされるものを見せました。偽の逮捕状の写真なども送ってきます。H氏はこれを捜査の一環だと信じ込みます。指示に従い、業務で使わない遠隔操作のソフトを会社のPCに入れました。そこからPCは遠隔操作されます。
2日間で、Y銀行の口座から不正に送金された額は1,179,810,000円です。その原資として、X銀行からY銀行へ940,000,000円が資金移動されました。
最後はH氏自身が異変に気づき、110番に通報しています。個人情報や顧客情報の流出は確認されていません。
正しい手順の中で、承認が押され続けた
この事案の怖さは、H氏に「不正をしている」という自覚がなかった点にあります。
会社の送金ルールは、不十分ながら存在していました。H氏はそのルールの中で、承認のボタンを押し続けています。
個人の判断力に頼る内部統制は、本人が騙されている状況では働きません。手順を踏んでいるという安心感そのものが、弱点になり得ます。
規程は正しく、銀行の設定が違っていた
報告書でいちばん生々しかったのは、規程と銀行の設定のずれです。
経理規程では、振込データの作成・申請と承認は、別の人が行う決まりでした。ところが銀行の設定では、H氏のアカウント一つで、作成から承認まで完結できました。
このずれに、誰も気づいていません。設定を定期的に棚卸しするルールがなく、実際に棚卸しもされていなかったからです。
人事異動や昇進のたびに、権限は足されていきます。不要になった権限を引く作業まで、できているでしょうか。私自身、自社の銀行の権限を棚卸しした記憶が、すぐには思い出せませんでした。少し不安になりました。
承認の上限額は、初期設定のままだった
H氏の承認上限額は、初期設定の999,999,999,999円のままでした。事実上の無制限です。
取締役は、アカウント管理は経理部長の担当だと考えていました。H氏は、自分は副責任者で、責任者は取締役だと考えていました。互いに「相手の役目」だと思っていたことになります。
誰が何を管理しているのかが曖昧なところは、どの組織にもあります。自分のチームに、「結局、誰の担当か」と迷うものはないか。確かめる価値があります。
「振込」より「資金移動」が甘かった
社外への振込には、作成・確認・承認の三段階がありました。複数の人が関わる流れです。
一方、自社の口座間で資金を動かす「資金移動」には、明確なルールがありません。経理部長がチャットで指示すれば、実施できたのです。
おおむね1,000万円以上なら、事前に取締役の承認を求める運用はありました。実際、最初の3億円は取締役の承認を得ています。けれども、この運用は書かれたルールではありませんでした。2回目以降、承認の依頼は省かれています。
書かれていない運用は、省かれたときに誰も止められません。社外に出ていくお金には目が行きますが、社内で動くお金は見落とされがちです。
「後ほど説明します」で止まった確認
経理部員の一人（報告書では「D氏」）は、異常に気づいていました。
口座の残高が少なくなり、見知らぬ相手への支払いがある。D氏はチャットでH氏に確認しています。返ってきたのは、「状況を把握済ですので、後ほど説明します。資金移動のほうを先にお願い致します」という返事でした。
D氏を責めることはできません。部長にそう言われれば、従うのが自然です。けれども、この一瞬が、被害の拡大を止められた機会だったのも事実です。
上司の口頭の説明とは別に、異常な資金移動を止める仕組みが要ります。止めたうえで、複数人で確かめる。個人の勇気に頼っていては、同じことが起きます。
職場で確かめたいこと
報告書の提言を踏まえて、自分の職場で確かめられることを並べます。
- 作成・申請と承認が、一人のアカウントで完結しない設定になっているか
- 送金・資金移動の承認上限額が、初期設定のままになっていないか
- アカウントと権限の設定を、年1回などで棚卸ししているか
- 振込だけでなく、自社口座間の資金移動にも、書かれた承認ルールがあるか
- 入出金や残高低下のメール通知を、契約・設定しているか
- 「緊急」「秘密」「あなただけに」という依頼への、確認と報告の手順があるか
- 部下が「何かおかしい」と感じたとき、上司を通さずに確かめられる道があるか
騙されても止まる組織にできるか
報告書には、こういう一文があります。「リテラシーがあっても騙された、という見方もあろう」。
経理の経験が長い人ほど、自分は大丈夫だと思いがちです。けれども、詐欺の手口は変わり続けています。個人のリテラシーだけで防げる時代ではありません。
問われているのは、誰か一人が騙されても、組織として送金が止まるかどうかです。「後ほど説明します」と言われた部下が、それでも手を止められるか。自分の職場に、その仕組みはあるでしょうか。
