はてな

01 ── WHAT HAPPENED

朝8時2分の電話から、翌日の110番まで

報告書の第4章は、分単位の記録です。経理部長のH氏（報告書では匿名）の私用携帯に千葉県警を名乗る電話が入ったのが4月20日午前8時2分。17分の通話のあと、別の番号からもう16分。この時点で家族への口外を禁じられ、H氏は相談相手を失っています。

9時8分、H氏は経理部のチャットに「私用で13時頃出社となります」と書き込みました。10時39分、遠隔操作アプリをダウンロードして実行。10時42分に外部からの接続が確立し、詐欺グループがPCを直接動かせる状態になります。11時41分、Y銀行のメイン口座から9,999万円が出ていきました。二段階認証はH氏自身が通しています。凍結口座への振込だから資金は後で戻る、と説明されていたためです。

目を引くのは、詐欺グループがPCを操作しているあいだ、H氏は別室に移されていたという記述です。ビデオ通話は維持したまま、必要なときだけ呼び出されて二段階認証を通す。画面の角度も、見えにくいように調整させられていました。

02 ── THE REFILL

口座が空になるたび、別の銀行から補充されていた

この事案が11億円規模まで膨らんだ理由は、口座残高のグラフを見るといちばん早く分かります。詐欺グループが動かせたのはY銀行の口座だけでした。Y銀行の残高が尽きると送金は止まる。ところが止まらなかった。X銀行から資金が7回にわたって運ばれてきたからです。運んだのは詐欺グループではなく、社内の正規の手続きでした。

補充の頼み方はチャット1本です。「本日付けで、X銀行からY銀行へ資金移動9000万円を作成してください。作成時に承認依頼は私にして、二次チェックは@Fさんへ依頼してください。何度もすみません」。同じ文面が、夜の17時53分、18時50分、19時24分、19時32分と繰り返されます。作成担当も確認担当も、そのつど正しく手を動かしました。手順どおりに。

03 ── THE HOLES

設定画面に開いていた3つの穴

委員会が原因分析でいちばん厳しく書いているのは、H氏の判断ではなく内部統制の側です。総括にはこう書かれています。「オンラインバンキングのアカウント設定さえ規程通り単独では振込できないものであれば本件の発生を防ぐことができ、H氏のアカウントの上限金額が適切に設定されてさえいれば被害金額の拡大を抑えることができた」。

この3つに、権限の棚卸しが一度も行われていなかったこと、資金移動に会社としてのルールが存在しなかったことが重なります。もっとも象徴的なのはX銀行との差です。X銀行のシステムは同一アカウントに作成権限と承認権限を同時に設定できない仕様でした。だからX銀行の口座から外部への流出はゼロ。同じ会社の、同じ担当者の、同じPCで、銀行の仕様が違うだけで結果が分かれています。

権限がこうなった経緯も記録されています。H氏のアカウントは当初、作成・申請の権限だけでした。2025年3月、部長昇進にともなって承認権限が追加されます。本来は作成権限に「代えて」承認を与えるべきところが、「加えて」になった。誰が設定したのか、上司も本人も記憶がなく、委員会は前任のI氏が引き継ぎの過程で自分と同じ設定をコピーしたのだろうと推察しています。そしてその状態を、管理者権限を持つ2人ともが把握していませんでした。

04 ── THE BACKGROUND

2年で経理部長が3人替わった会社で起きた

報告書の第4章第2節は、事件そのものより長い分量を経理部の人事に割いています。委員会の見立てでは、ここが根っこです。

委員会は復職時の判断についても指摘しています。産業医の意見や本人の不安への配慮から休職前と同じ権限を戻したこと自体は理解できる。ただ資金管理の権限は詐欺的誘導に悪用されうる重要な権限で、業務上の必要性や本人への配慮とは別に、統制の観点から範囲を検討し直すべきだった、と。

もうひとつ、報告書の数字で目を引いたのが会議の長さです。2024年7月期からの41回の監査役会は、1回を除いてすべて所要時間30分以下。平均は25.5分から29.3分でした。社外監査役の1人は41回中40回がオンライン参加。取締役会も平均42分から48分です。監査計画の重点項目は約3年間変わっていません。委員会は監査役会について「職務意識の高さ及びリスク感度の高さは感じられなかった」と書いています。

05 ── THE NUMBERS

黒字予想から一転、7.67億円の最終赤字へ

数字への反映は6月12日でした。同日の第3四半期決算短信の営業外損益・特別損益の説明に、資金流出事案に伴う損失1,179,810千円という一行が入っています。被害の最大額をそのまま特別損失に計上した形です。回収は関係金融機関と連携して進めており、確定すれば特別利益として計上する予定と説明されています。

営業利益はまだ黒字です。本業が壊れたわけではありません。壊れたのは営業外から下の部分で、11.8億円の特別損失が一気に最終利益を持っていきました。繰延税金資産の計上で法人税等が3.57億円分のマイナスとなり、赤字幅はいくらか抑えられています。

手元の現金が21.4億円から9.5億円まで落ち、それまでゼロだった短期借入金が2.5億円立っています。自己資本比率78.2%は依然として高い水準ですが、財務の余裕が目に見えて削られたことは貸借対照表に残りました。回収がどこまで進むかが、来期以降の数字を左右します。

06 ── THE RESPONSE

7月24日に会社が示したもの

今回の開示で会社が発表したのは3点です。調査結果の概要、役員報酬の一部自主返上、そして再発防止策の策定を進めていること。

委員会の提言は8項目にわたります。資金移動をチャットではなくワークフローシステムでの申請・承認に切り替えること。ネットバンキングの管理者権限を経理部の外（情報システムチームなど）に置き、経理部には利用者としての実行権限だけを残すこと。年1回以上のアカウント棚卸し。遠隔操作ツールをカテゴリ単位でブロックし、すり抜けた場合はEDRで検知すること。偽警察型の手口を扱う年1回の集合研修。専任者を置いたリスクアプローチ型の内部監査。委員会は「導入困難なものがあるとは考えていない」と書いています。

07 ── FOR INVESTORS

決算書に出てくる前に、兆候はどこにあったか

この号外を作ろうと思ったのは、これが決算書を読むだけでは絶対に見つからないタイプのリスクだったからです。2026年7月期の第2四半期まで、はてなの数字に異常はありませんでした。異常があったのは、有価証券報告書やコーポレートガバナンス報告書の、数字ではない部分です。