2026年7月24日、株式会社はてな（東証グロース：3930）が、特別調査委員会による調査報告書を公表しました。
概要はこうです。2026年4月20日・21日の2日間、同社の経理部長が「千葉県警察」を名乗る詐欺グループから「資金洗浄事件の捜査協力」を依頼されたと信じ込み、自身のPCに遠隔操作ソフトを入れられた上で、会社の銀行口座から外部口座へ最大約11億円が送金されるという事件が起きました。
正直、この報告書を読み進めながら何度も背筋が寒くなりました。他人事ではないからです。経理部で送金業務や資金移動に関わっている身として、「自分だったら防げただろうか」と考えずにはいられませんでした。
今回は、公開された調査報告書（開示版）を読み解きながら、経理の現場にいる私たちが実務に活かせる学びを整理してみたいと思います。
何が起きたのか（ざっくり要約）
- 経理部長（H氏、経理経験約19年半のベテラン）が私用携帯に「警察関係者」を名乗る電話を受電
- 「資金洗浄グループの捜査協力」という名目で、ビデオ通話・偽の警察手帳・偽の逮捕状などを使い、H氏の信用を巧妙に獲得
- 「業務で使うことのないリモートデスクトップソフト」をPCにダウンロード・実行させられ、PCを完全に乗っ取られる
- 2日間にわたり、H氏自身の手で（というより、乗っ取られたPC上で詐欺グループの遠隔操作により）オンラインバンキングの送金が繰り返し実行される
- 最終的にH氏が冷静さを取り戻し、110番通報したことで発覚
被害総額は、Y銀行口座からの不正送金が約11.8億円、そのための「原資」としてX銀行からY銀行への資金移動が9.4億円。個人情報や顧客情報の流出は確認されていません。
経理担当者として刺さったポイント
- 「本人が正しい手続きを踏んでいる」ことが、必ずしも安全を意味しない
この事件の怖さは、H氏が「不正なことをしている」という自覚が最後までなかった点です。会社の送金ルール自体は（不十分ながら）存在していて、H氏はそのルールの枠内で「承認」というボタンを押し続けました。
つまり、性善説・個人の判断力に依存した内部統制は、本人が騙されている状況ではまったく機能しないということです。「ちゃんと手順を踏んでいるから大丈夫」という安心感そのものが、実は最大の弱点になり得る。これは自分の職場のワークフローを見直す上で、かなり重要な視点だと感じました。
- オンラインバンキングの権限設定、規程通りになっていますか？
報告書で最も生々しかったのが、この一文です。
経理規程上は「振込データの作成・申請」と「承認」は別の人が行うルールになっていたが、実際のオンラインバンキングのシステム設定では、経理部長のアカウント1つで作成から承認まで完結できてしまう状態になっていた。
規程は正しかったのに、システム上の権限設定がそれと乖離していた。しかもこの乖離は、誰も気づかないまま何年も放置されていました。理由は単純で、「アカウントの棚卸しをする」というルール自体が存在しなかったからです。
これは正直、多くの会社で起こり得ることだと思います。人事異動や昇進のたびに権限を「足していく」ことはあっても、不要になった権限を「引く」作業まで徹底できているでしょうか。私自身、自社のオンラインバンキングの権限設定を棚卸しした記憶がすぐに思い出せず、少し不安になりました。
- 送金上限額が「初期設定のまま」だった
経理部長のアカウントの承認上限金額は、初期設定（実質無制限）のまま放置されていました。上司である取締役は「経理部長が自分で設定するもの」と考え、経理部長本人は「自分は副責任者だから設定するのは上司の役目」と考えていた。お互いが「相手がやっているはず」と思い込んでいたわけです。
これは他人事とは思えません。「誰が何を管理しているか」が曖昧なグレーゾーンは、どんな組織にも存在しがちです。自分のチームで「これって結局誰の担当だっけ？」というものがないか、棚卸ししてみる価値がありそうです。
- 「資金移動」は振込よりもチェックが甘くなりがち
会社間・銀行間の「振込」には作成→確認→承認の3段階フローがきちんと存在していた一方、同一会社内での「資金移動」（X銀行からY銀行へお金を移すだけの操作）にはルールらしいルールがなく、経理部長の一存（チャットでの指示）だけで実行できてしまう状態でした。
「社外に出ていくお金」には目が行きがちですが、「社内での資金の移動」は見落とされがちというのは非常に納得感があります。これも自社の業務フローを点検する際のチェックポイントになりそうです。
- 「後で説明します」で思考停止しない仕組みが必要
もう一つ印象的だったのが、他の経理メンバー（D氏）が「口座残高が異常に少ない」「見慣れない振込先がある」と気づき、経理部長に確認したエピソードです。経理部長からは「状況は把握済みなので後で説明します」という回答が返ってきて、それ以上の質問ができなくなってしまいました。
D氏を責めることはできません。「部長がそう言うなら」と思うのは自然な反応です。でも、この一瞬の「異常を検知した」タイミングこそ、被害拡大を止められた最後のチャンスだったのも事実です。
「上司に確認したが、大丈夫と言われたので進めた」という状況で被害が拡大するのを防ぐには、個人の胆力に頼るのではなく、「異常な資金移動を検知したら、上司の口頭説明とは別に、システム的に一時停止・複数人確認が入る仕組み」が必要なのだと思います。
経理現場でできる小さなセルフチェック
報告書の「提言」章を踏まえ、自分の職場で今すぐ確認できそうなことをリストにしてみました。
- オンラインバンキングの「作成・申請」権限と「承認」権限は、同一人物のアカウントで完結しない設定になっているか
- 送金・資金移動の承認上限額は、初期設定（無制限）のまま放置されていないか
- オンラインバンキングのアカウント・権限設定を、定期的（年1回など）に棚卸ししているか
- 「振込」だけでなく「資金移動（自社内・銀行間）」にも承認フローが存在するか
- 入出金・残高低下のメール通知など、異常検知の仕組みを契約・設定しているか
- 「緊急」「秘密」「あなただけに」といったキーワードを伴う依頼を受けた際の、標準的な確認・エスカレーション手順が明文化されているか
- 部下が「何かおかしい」と感じたときに、上司の一存で終わらせず、別ルートで確認できる仕組みがあるか
おわりに
この事案、報告書の総括にある一文がとても印象に残りました。
「特殊詐欺グループの手口は刻々と変化・進化しており、リテラシーがあっても騙された」という見方もあろう。
経理歴が長い人ほど、「自分は大丈夫」と思ってしまいがちです。でも、詐欺の手口は年々巧妙化していて、リテラシーだけで防ぎきれる時代ではなくなっている、というのがこの事件の一番の教訓だと思います。
大切なのは、「その人が騙されないこと」を期待するのではなく、「たとえ誰か一人が騙されても、組織として被害を止められる仕組みを作っておくこと」。これは経理部門に限らず、あらゆる業務設計に通じる話だと感じます。
自分の職場のオンラインバンキング権限、一度棚卸ししてみようと思います。
