はてな、11億円流出の調査報告書を公開 偽警察、口外禁止、残業・休出200時間超、孤立……ほころびが連鎖（1/2 ページ）

　はてな（京都市中京区）は7月24日、特別調査委員会がまとめた資金流出事案の調査報告書を公開した。事案は4月に発生したもので、報告書では、経理部長が警察関係者を名乗る詐欺グループに「捜査協力」と信じ込まされ、業務用PCを遠隔操作されたと認定。加えて、オンラインバンキングの権限設定や経理体制の不備が被害を拡大させたと指摘した。

　発端は4月20日午前8時2分。経理部長のH氏の私用携帯に詐欺グループから電話があり、大規模な資金洗浄事件を捜査中であること、H氏自身にも関与の疑いがあり出頭が必要であることなどを告げられた。

　詐欺グループは通信アプリのビデオ通話で「警察手帳」や「検察官証」とされるものを提示し、栗栖義臣社長ら経営陣も捜査対象だと説明。家族への口外を禁じられ心理的に孤立したH氏は、真偽を確かめる間もないまま指示に従った。

　同日午前10時39分、H氏は詐欺グループの指示でリモートデスクトップアプリをダウンロードして実行。これにより詐欺グループは業務用PCを直接操作できる状態となり、午前11時41分には詐欺グループ自らがPCを遠隔操作し、Y銀行の口座から9999万円を送金した。

　振込の完了には、H氏の携帯に表示される振込内容を本人が確かめる二段階認証が必要だったが、H氏は詐欺グループから「凍結口座への振込で後で資金は戻る」と説明を受けて信じ、表示内容を十分に確認しないまま自ら認証操作を行った。

　同社は、メインバンクのX銀行に大半の資金を置き、そこからY銀行に移した資金で給与などを支払う運用をしていた。詐欺グループが送金に使ったのはY銀行の口座で、その残高が尽きると、詐欺グループはH氏を通じてX銀行からの資金補充を指示。

　H氏は「給与出金の準備」という虚偽の理由でX銀行からY銀行への3億円の資金移動について田中慎樹取締役コーポレート本部長の承認を得た。さらにその後は上司への承認依頼を省き、部下に作成を依頼して自ら承認する形で6回・計6億4000万円の資金移動を重ねた。

部下の指摘、銀行の照会。止め得る機会は何度もあった

　この間、部下が異変に気付く場面もあった。資金移動の確認を担う部員が「口座残高が少額になっている。見知らぬ相手先への資金移動もある」とチャットで指摘したが、H氏が「状況を把握済みなので後ほど説明する」と返すと、それ以上の追及は止まった。

　以降、この部員は夜遅くまで繰り返し届く異常な頻度の資金移動指示にも「部長のことだから何か理由があるのだろう」と応じ続けたという。

　流出を止め得る機会は銀行側からも訪れていた。20日夕方、Y銀行から田中取締役に「9999万円の入金が3回あったが、これは何か」と電話で照会があった。しかし田中取締役は、自身が承認した給与支払い用の資金移動だと解釈して問題ないと判断し、口座の入出金を直接確認しなかった。Y銀行は同時間帯にH氏へも2回架電したが、詐欺グループとの通話中だったH氏は応答しなかった。

　送金は深夜まで続き、翌21日午前にもX銀行からY銀行へ1億9000万円を移動。詐欺の発覚は、H氏が21日午前11時にY銀行の窓口に電話し、通話の途中で冷静さを取り戻して110番通報したときだった。ほぼ同時刻、Y銀行から不審な支払いの連絡を受けた田中取締役も口座を確認し、不正送金を認識した。

　被害額は合計11億7981万円。いずれもY銀行の口座からの不正送金で、このうち9億4000万円はX銀行から補充のために移した資金、残りは事案発生時点でY銀行の口座にあった資金にあたる。

　個人情報や顧客情報を外部に持ち出した形跡は確認できなかったが、報告書では、遠隔操作中に画面に表示していた残高や取引履歴を詐欺グループが視覚的に把握した可能性は排除できないとしている。

　報告書が最も重く扱ったのは、1人の判断ミスを組織が止められなかった点だ。経理規定では振込データの作成者と承認者を分ける定めがあったが、Y銀行のオンラインバンキング上ではH氏のアカウントが作成・申請権限と承認権限の両方を持っており、単独で振込を完了できる状態だった。

　前任者が引き継ぎの過程で自身と同じ権限を設定したと推察している。一方のX銀行は同一アカウントに両方の権限を設定できない仕様で、こちらの口座から外部への流出はなかった。

　加えて、そもそも社内の資金移動には明確なルールがなく、経理部長がチャットで指示するだけで実行できた。おおむね1000万円以上の多額の場合は事前に田中取締役の承認を得る運用があったが、これはH氏が自主的に行っていた個人ルールにすぎず、実際に2回目以降の資金移動では機能しなかった。

　また、承認上限金額も設定していなかった。H氏のアカウントは初期設定の9999億9999万9999円のまま運用しており、事実上、口座残高の上限まで払い出せる状態にあった。入出金や残高低下を知らせる有料のセキュリティオプションも未契約で、異常な出金の検知が遅れた。権限設定を定期的に棚卸しするルールもなく、管理者すら明確に決まっていなかった。

　背景には経理部の混乱がある。12年勤めた経理部長ら2名が2024年7月期の本決算直前に退職し、業務マニュアルのないまま属人化した業務を後任が引き継ぐことになった。その後任も半年ほどで退職し、入社4カ月のH氏が25年2月に経理部長へ昇進。

　決算期の25年7月には残業と休日労働で計140時間、翌8月には残業102時間・休日労働100時間の計203時間に達し、H氏は体調を崩して休職。26年2月に復職したばかりだった。

　報告書は、H氏と会社の信頼関係の欠如も遠因に挙げた。同社はH氏の休職中、復職できない可能性も考慮して経理経験の豊富なC氏を経理副部長として採用。H氏は、自身の業務や役割をC氏に代替されるのではないかとの不安を抱いていた。

　復職後も、会社側が残業の原因を「指示していない業務を自らの判断で行ったため」と捉えたのに対し、H氏は「夕方からの上司との打合せで指摘された事項に対応するには残業せざるを得なかった」と受け止めており、認識の相違から上司への不信感を強めていた。

　こうした状況が、詐欺グループからの電話を社内の適切な部署へ相談せず、単独で対応したことにつながったと分析している。

　情報セキュリティ面でも不備があった。同社では貸与PCに管理者権限を付与しており、従業員が自由にソフトウェアを導入できる状態だった。リモートデスクトップアプリの起動ログは記録していたが、監視で気付くことはできず、未承認アプリの実行を止める仕組みもなかった。

　また、H氏はパスワードマネージャーの利用を定めた社内ルールに反し、オンラインバンキングのIDとパスワードを、保護をかけていないExcelファイルでデスクトップに保存していた。PCを乗っ取った詐欺グループはこのファイルを閲覧でき、銀行口座へのアクセスを許すことになった。

　調査委員会は再発防止策として、資金移動をチャットではなくワークフローシステムで申請・承認すること、オンラインバンキングの権限管理を経理部以外の部署に任せること、承認額の上限をルールとして明文化すること、遠隔操作系アプリの実行を一律で制限すること、偽警察型詐欺を想定した研修を年1回実施することなどを提言した。

　総括では、規定通りに1人で振込を完了できない設定にしてさえいれば流出自体を防げ、上限額を適切に設定していれば被害の拡大も抑えられたと指摘している。

　同社は経営責任を明確にするため、栗栖社長と田中取締役がそれぞれ月額報酬の20％を6カ月間自主返上すると発表した。田中取締役は次回の株主総会での任期満了をもって取締役を退任する意向。再発防止策の詳細は決定次第公表するとしている。