はてなは、同社で発生した約11億8000万円の資金流出事案について、特別調査委員会がまとめた調査報告書（開示版）を公開した。報告書では、警察関係者を名乗る詐欺グループによる「捜査協力」を装った働きかけや、社外への口外を禁じる指示、長時間の残業・休日出勤、担当者の孤立など、複数の要因が連鎖した状況が示されている。
事案の詳細
公表された調査報告書によると、今回の事案では、「千葉県警察」など警察関係者を名乗る詐欺グループが関与していた。経理部長が捜査協力を依頼されていると信じ込み、業務用PCにリモートデスクトップアプリをインストールさせられたうえで遠隔操作を許し、法人口座からの資金移動に関与させられたと認定されている。外部からの接触により、社内の特定の担当者に対して資金移動などの具体的な行動を促す働きかけがあったことが報告書からうかがえる。
さらに、他者に相談させないための「口外禁止」を求める指示が含まれていた点が、被害拡大の重要な要因として挙げられている。詐欺グループは、警察官や検察官などの権威を偽装することで担当者に心理的圧力をかけつつ、「捜査内容は外部に話せない」「家族や同僚にも話してはいけない」といった趣旨の口外禁止を繰り返し伝え、組織内での相談や確認を封じ込めていた。
報告書が描くのは、単一のミスや単発の判断で被害が生じたというより、複数のほころびが重なった姿だ。経理部門では、担当者の残業・休日出勤が月200時間を超えるような状況があり、慢性的な人員不足と属人化した業務運用の中で、負荷の高い状態で対応が続いていたことが示されている。また、オンラインバンキングの権限設定において、単独で高額送金が可能な権限が付与されていたことや、承認上限額が未設定だったことなど、内部統制や資金移動ルールの不備が重なっていた。
報告書によれば、担当者は当初「給与出金の準備」などの虚偽の理由で上司の承認を得て資金移動を行い、その後は上司への承認依頼を省いて自ら承認する形で複数回の資金移動を重ねた経緯も整理されている。こうした状況の中で担当者が孤立し、周囲からの牽制や確認が働きにくくなっていたことが、外部からの不正な働きかけに対して社内の通常の確認や統制が十分に機能しなかった背景として示されている。
被害としては、最終的に約11億8000万円規模の資金流出が発生した。調査報告書の公開は、事案の経緯や当時の状況を整理し、社内外に説明する取り組みの一環と位置付けられている。報告書の範囲で示されているのは、警察官などの権威を偽装した詐欺グループの働きかけと口外禁止の強要、過重労働や人員不足、属人的な経理体制、担当者の孤立といった要素が連鎖し、結果としてオンラインバンキングを通じた資金流出に至ったという構図である。
影響と背景
約11億8000万円規模の資金流出は、金銭的影響に加え、社内の業務運用や意思決定の在り方、内部統制の有効性にも大きな課題を投げかける。報告書が示した「偽警察」「口外禁止」「長時間労働」「孤立」「権限設定の不備」「属人的な運用」は、特定の技術だけで起きる問題ではなく、外部からの巧妙な働きかけと組織内の状況が結び付いたときに被害が拡大し得ることを示す要素となっている。
調査報告書では、オンラインバンキングにおいて、単独で高額の振り込みが可能な権限が経理部長に集中していたこと、承認上限額や二重チェックの仕組みが十分に設けられていなかったこと、管理者権限の付与やパスワード管理の運用にも問題があったことが指摘されている。これにより、詐欺グループが遠隔操作を通じて短期間に複数回の資金移動を行える環境が生まれていた。
背景として、経理部門の人員不足と業務の属人化により、特定の担当者に業務と権限が集中していたこと、長時間労働が常態化していたこと、組織内の信頼関係やコミュニケーションが十分に機能していなかったことが挙げられている。一方で、調査報告書においては、今回の事案で顧客情報や個人情報が外部に流出した形跡は確認されていないとされている。
対策・今後の展望
報告書で示された要素からは、外部者が警察官などの権威を装って指示し、相談や共有を止める状況を作ることが、被害の増幅につながり得ることが分かる。資金移動や重要手続きに関しては、担当者個人に判断と実行が集中しない仕組み、相談やエスカレーションを妨げる指示を受けた場合に必ず止まる仕組み、過重労働や孤立を放置しない運用が重要になる。
- 口外禁止や緊急対応の要求があった場合に一旦停止する：外部者から「他言するな」「捜査内容は秘密だ」と求められた時点で、社内の定めた連絡先へ共有しない限り手続きを進めないルールを徹底する。警察や公的機関を名乗る相手であっても例外を設けないことが重要だと示されている。
- 資金移動・重要手続きは複数人で確認する：担当者単独で完結しない承認経路を設け、一定額以上の振込や新規の送金先登録については複数人の承認を必須とし、例外運用を認めない。オンラインバンキングの権限設定や承認上限額の見直し、ワークフローシステムの導入など技術的・制度的な対策が求められる。
- 長時間労働や孤立を兆候として扱う：業務負荷が特定の担当者に偏った状態を、事故や不正の前兆として早期に是正する。月200時間を超えるような残業・休日出勤が発生している場合には、業務配分の見直しや人員補充、メンタルヘルスケアなどを含めた組織的な対応を行い、担当者が一人で重要な判断やリスクを抱え込まない環境を整備する。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIのMDR運用支援では、侵入の技術的な痕跡より先に、「急な高額の資金移動」「役職者・公的機関を名乗る連絡」「外部に話すな」という圧力が業務側で発生し、情報システム部門に届かないケースが目立つ。診断でも、オンラインバンキングや重要手続きが担当者依存のまま運用されている企業が多く、権限設定や承認フローが十分に設計されていない事例が繰り返し確認されている。
【平易な解説】例えるなら、制服を着た人が会社の玄関で「今すぐ中に入れて。誰にも言うな」と言っているようなものだ。つまり、相手が本物か確かめたり、上司や別担当に確認したりする前に動かされると、組織の安全装置が働かなくなるということだ。メールや電話、チャットで「警察」や「検察」を名乗られても、同じ構図で一人の担当者が判断を迫られると危険だという点を、調査報告書は示している。
【中小企業が今週中にできること】まず、資金移動や重要な承認が「誰の最終判断で実行されるか」を棚卸しし、単独で完結している箇所がないか確認する。次に「口外禁止と言われたら必ず社内の指定窓口へ共有して止める」と全社へ周知し、担当者が一人で抱え込まない連絡経路を決めて運用を開始する。あわせて、オンラインバンキングの権限設定や承認上限額、ワークフローの有無を確認し、短期間でも反映可能な改善策から着手することで、同様の被害リスクを低減できる。