画面に映された偽の警察手帳と逮捕状。「社長も捜査対象だ」という脅し。会社のパソコンを遠隔操作されながら、経理部長自身が二段階認証を繰り返した。会社口座が空になると、経理部長は部下に命じ、別の銀行口座から3億円、9000万円、また9000万円と資金を補充させた。銀行が「9999万円は詐欺でよく使われる金額だ」と警告した後も、送金は翌朝まで続いた。

最初の電話から発覚まで約27時間。外部口座へ流出した金額は11億7981万円に達した。

しかし、報告書が明らかにしたのは、詐欺グループの巧妙な手口だけではない。1人で送金を完結できる権限設定、約1兆円の振込上限、異常な出金を知らせない仕組み、経理部の疲弊、機能しなかった内部監査。

詐欺グループは、上場企業の内部に開いていた穴へ手を伸ばしていた。

「社長も捜査対象」午前8時2分、偽警察からの電話

始まりは4月20日午前8時2分だった。千葉県警を名乗る人物から、経理部長だったH氏の私用携帯電話に着信があった。最初の電話は約17分続き、その直後には別の電話番号から再び連絡が入り、約16分にわたって通話が続いた。告げられたのは、大規模な資金洗浄事件を捜査しているという話だった。

警察内部にも関係者がおり、捜査員には専用の携帯電話が支給されている。H氏自身にもマネーロンダリングへの関与疑惑があり、出頭しなければ逮捕、拘留される。家族にも口外してはならない。詐欺グループは、恐怖と秘密を使ってH氏を心理的に孤立させた。

その後、通信アプリを使ったビデオ通話に移ると、「警察手帳」や「検察官証」とされるものを画面に映した。詐欺グループはH氏の氏名や生年月日をあらかじめ把握しており、会話の中で、H氏がはてなの経理部長であることを聞き出していった。

さらに、栗栖義臣社長や田中慎樹取締役コーポレート本部長も、資金洗浄への関与を疑われ、捜査対象になっていると告げた。会社に相談すれば、捜査対象者に情報を漏らすことになる。家族にも話せない。こうしてH氏は、会社と家庭の双方から切り離された。詐欺グループは口座を奪う前に、H氏の判断力を奪った。

午前9時8分、H氏は経理部のチャットに「私用で13時頃出社となります」と書き込んだ。詐欺グループの指示を受け、同居する家族を自宅から外出させた後、会社から貸与されたパソコンで、はてなが保有する銀行口座の残高を確認した。午前10時台には、偽の捜査資料、H氏名義の偽造キャッシュカード、偽の逮捕状の写真まで送られてきた。

会社パソコンを遠隔操作　二段階認証は本人が突破

午前10時39分、H氏は詐欺グループに指示されるまま、会社のパソコンにリモートデスクトップアプリをダウンロードした。H氏は、このアプリがパソコンを外部から遠隔操作するためのものだと理解していなかったという。

午前10時42分ごろ、外部からの接続が確立した。これにより、詐欺グループは、はてなのパソコンを直接操作できる状態となった。はてな側のシステムには、リモートデスクトップを起動した記録が残っていた。だが、リアルタイムの監視では異常を検知できなかった。未承認のアプリを技術的に実行できなくする仕組みも導入されていなかった。

午前11時40分、詐欺グループはパソコンを遠隔操作し、はてなのY銀行口座から外部口座への振込申請を行った。ただし、振込を完了するには、H氏の携帯電話を使った二段階認証が必要だった。詐欺グループはH氏に、パソコンの画面から離れ、別室で待つよう命じた。認証が必要になるたびにH氏を呼び戻し、携帯電話を操作させた。

このとき、H氏は一度、「この操作をすれば、資金が流出するのではないか」と疑問を抱いている。だが、詐欺グループは「振込先は凍結口座で、捜査の一環だから通常の振込には当たらない」「資金は後で戻る」と説明した。

H氏はその言葉を信じ、携帯電話に表示された振込先や金額を十分に確認しないまま、二段階認証を行った。

午前11時41分、9999万円。午前11時59分、1億円。二段階認証が破られたわけではない。システムは正常に作動し、だまされた本人が自ら扉を開けた。

残高数千円、社内から3億円を「給与資金」と偽って補給

午後に入っても送金は続いた。7439万円、233万円、313万円。Y銀行にあった複数の口座は、数千円を残すだけとなった。そこで詐欺グループが次に目をつけたのが、はてなのメインバンクであるX銀行の口座だった。

Y銀行の残高がなくなれば、X銀行から資金を移させればいい。午後1時10分、H氏は社内チャットで田中取締役に、こう尋ねた。「給与出金の準備にあたり、Y銀行にX銀行から資金移動3億円おこないたい」本当の目的は給与支払いではなかった。

H氏は、詐欺グループの指示に従うため、虚偽の理由を使って社内の承認を得た。田中取締役は3分後、「以前もあったようなことかと思いますので、必要であればお願いします」と返信した。経理部の担当者が3億円の資金移動データを作り、別の担当者が確認し、最後にH氏が承認した。午後1時44分、Y銀行のメイン口座には約3億円が補充された。

この直前、経理部員の一人は異変に気づいていた。Y銀行の口座残高が異常に少なくなり、見覚えのない相手先への支払いもあったため、H氏に確認した。

だが、H氏はこう答えた。「その件について状況を把握済ですので、後ほど説明します。資金移動のほうを先にお願い致します」部下は経理部長の言葉を信用した。

その後、9999万円、9999万円、8000万円、1000万円、1000万円と送金が続き、午後3時すぎには、Y銀行のメイン口座の残高は2万4722円になった。

資金移動の確認担当者が見ていたのは、H氏の指示通りにデータが作られているかどうかだった。なぜ短時間に何億円も動かすのか。なぜ口座が空になるのか。資金移動の根拠は何なのか。

そうした取引の正常性を確認し、送金を止める仕組みはなかった。社内の通常業務が、詐欺グループへの資金補給線に変わっていた。

銀行は「詐欺」と警告、それでも止まらなかった

被害を止められた可能性のある重大な分岐点は、午後4時すぎに訪れた。Y銀行から田中取締役に連絡が入った。

9999万円の不審な資金移動が3回あり、「9999万円の移動は詐欺の際によくある金額なのでスクリーニングされている」と伝えられたのだ。

田中取締役は午後4時29分、この内容を経理部のチャットに投稿した。その末尾には、こう記されていた。

「次回から金額の工夫をしたほうがいいかもです」

文面だけを見れば、銀行の監視を避ける方法を示したようにも読める。ただ、調査報告書によると、田中取締役は、銀行が指摘した資金の動きを、自ら承認した給与支払い用の3億円の資金移動だと思い込んでいた。そのため、銀行口座の入出金明細を直接確認しなかったという。

H氏から返ってきたのは、「承知しました。ご連絡ありがとうございます」という短い返事だけだった。

銀行から明確に「詐欺」という言葉が発せられた。それでも、会社側の確認はそこで止まった。

その後、H氏は田中取締役の承認を得ないまま、X銀行からY銀行への資金移動を繰り返した。9000万円を移し、詐欺グループが9000万円を送金する。残高がなくなれば、また9000万円を移す。

夜になっても、H氏は経理部員に資金移動データの作成と確認を依頼し続けた。午後5時すぎにはX銀行へ電話し、一定時刻を過ぎると1億円を移動できない理由を尋ねている。問い合わせ窓口から「1億円未満であれば振込可能」と説明を受けた後、資金移動は9000万円単位で続けられた。

午後7時52分には、詐欺グループの指示を受け、Y銀行に電話をかけて口座の利用制限まで解除してもらった。被害者だったはずの経理部長が、送金の承認者となり、資金の補給役となり、最後には銀行の制限を解除する役割まで担わされていた。

詐欺師とつないだまま就寝、翌朝も1億5000万円

送金は午後9時すぎまで続いた。H氏がパソコンを閉じたのは午後9時24分ごろだった。Y銀行のメイン口座には、3万4722円しか残っていなかった。だが、詐欺グループとの通信は終わっていなかった。

H氏は、通信アプリのミーティングを維持するよう命じられ、詐欺グループと接続した状態のまま就寝した。

翌21日午前8時30分ごろ、通信アプリ越しに声をかけられ、H氏は再び作業を始めた。H氏は田中取締役との会議を「家族の都合」として延期し、午前9時54分、経理部員にX銀行からY銀行へ1億9000万円を移すよう指示した。

午前10時13分に資金移動が完了すると、午前10時19分に1億円、同22分に5000万円が外部口座へ送金された。さらに1000万円を送ろうとしたが、この時点でY銀行側が出金を停止し、振込は失敗した。

午前11時、H氏はY銀行の窓口担当者と電話で話すうち、ようやく冷静さを取り戻した。

一連の指示は、本当に警察によるものなのか。自分の携帯電話は詐欺グループに監視されている可能性がある。そう考えたH氏は、家族の携帯電話を借り、午前11時8分に110番通報した。警察から「その捜査プロジェクトは存在しない」と告げられ、H氏は、前日から続けてきた操作のすべてが詐欺だったと知った。

最初の電話から約27時間が経過していた。不正送金の総額は11億7981万円。

X銀行からY銀行へ移した9億4000万円は社内口座間の資金移動であり、11億7981万円に加えて発生した別の損失ではない。ただ、その資金がY銀行の口座を繰り返し満たし、不正送金を長時間継続させた。

経理部長による横領ではなかった

巨額の資金が経理部長のアカウントを通じて流出したことから、特別調査委員会は当初、H氏による横領や着服の可能性も視野に入れて調査した。だが、結論は特殊詐欺だった。

H氏自身の個人口座でも被害が確認されており、経理担当者による横領はなかったと認定された。また、顧客情報や社内の業務ファイルが外部へ持ち出された形跡も、基本的には確認されなかった。

一方、遠隔操作中の画面を通じて、銀行口座の残高や取引履歴、担当者名、銀行のIDやパスワードを詐欺グループが目視した可能性までは否定できないとしている。

送金上限は「9999億円」単独で振込を完結

なぜ、これほどの金額を1人の経理部長のアカウントで動かせたのか。

最大の問題は、Y銀行のオンラインバンキングの権限設定にあった。

はてなの経理規程では、振込データを作る担当者と、振込を承認する担当者を分ける職務分掌が定められていた。

ところが、オンラインバンキング上では、H氏のアカウントに「振込データの作成・申請権限」と「承認権限」の両方が付与されていた。つまり、H氏のアカウント一つで、送金の申請から承認までを完結できた。

一方、X銀行は、同じアカウントに作成権限と承認権限を同時に設定できない仕様だった。そのため、X銀行の口座から詐欺グループの外部口座へ、直接資金が流出することはなかった。

特別調査委員会は、Y銀行側も単独で送金できない設定にしていれば、「本件の発生を防ぐことができた」と指摘している。

さらに、H氏の振込承認上限額は、初期設定のままだった。金額は、9999億9999万9999円。ほぼ1兆円である。

田中取締役は、オンラインバンキングの上限額管理は経理部長が担うものだと考えていた。一方、H氏は、自分は副責任者であり、責任者は田中取締役だと認識していた。互いに相手が管理するものだと思い、誰も設定を確認していなかった。権限や上限額を定期的に棚卸しするルールもなかった。異常な入出金や口座残高の低下を知らせる銀行のセキュリティオプションも契約していなかった。

会社の貸与パソコンには各社員が管理者権限を持ち、ソフトウェアを自由にインストールできる状態だった。H氏は銀行のIDとパスワードを、暗号化されていないExcelファイルに記載し、パスワードも設定せず、パソコンのデスクトップ上に保存していた。

規程やセキュリティポリシーは存在した。だが、守られていることを確認する仕組みがなかったのだ。

事件前から崩れていた経理部　残業102時間、休職から全権復帰

報告書を読み進めると、事件以前から、はてなの経理部が危うい状態にあったことが分かる。長年にわたり経理業務を担ってきた2人の社員に、業務が集中していた。

経理規程はあったものの、具体的な業務マニュアルや手順書、判断基準はほとんど整備されていなかった。日常業務の進め方やオンラインバンキングの管理は、2人の知識と経験に依存していた。経理業務は、他の役職員から中身が見えない「ブラックボックス」になっていた。

その2人が2024年7月、決算を目前に退職の意向を示した。十分な引き継ぎが行われないまま休暇に入り、同年8月に退職した。

H氏が入社したのは2024年11月だった。経理実務の経験は約19年半あったが、部門を管理するマネジメント経験が不足しているとの懸念もあった。それでも経理部長候補の採用を急いでいたはてなは、実務経験を優先して採用を決めた。

入社から約4カ月後の2025年2月、H氏は経理部長に昇進した。前任者から引き継がれたのは、当面の業務を続けるための作業手順や資料の場所が中心だった。経理部長として管理すべき不正支出リスクや内部統制上の責任は、十分に整理されていなかった。

昇進後も、経理部長に必要なマネジメント教育は行われなかった。H氏の業務負荷は急速に膨らんだ。2025年7月の残業時間は81時間26分、休日労働は59時間20分。8月には残業102時間35分、休日労働100時間51分に達した。

H氏は体調を崩し、同年9月から休職した。経理部員からは、調査委員会の聞き取りに対し、「めちゃくちゃな状況で引き継いで大変だった」「家にも仕事を持ち帰っていた」「マニュアルもなく、紐解きながら何とかこなしていた」との証言が出ている。

H氏は2026年2月に復職した。会社側は、復職直後のH氏に資金管理を含む経理部長の権限をすべて戻すべきか迷っていた。それでも、経理と財務を切り離すのが難しいことや、新たに採用された副部長に役割を奪われるのではないかというH氏の不安への配慮から、休職前と同じ業務と権限を戻した。産業医からは「フルタイム、同じ職位での復職可」との見解も出ていた。

ただ、復職時に、どこまで資金移動の権限を持たせるのか、誰がその操作を確認するのかといった内部統制上の検討は行われていなかった。

「忙しそうで質問しづらい」異常を感じても止められず

経理部には、忙しそうなH氏に「なんとなく質問しづらい」という空気もあった。部員たちは、まず自分で考え、それでも分からなければ質問するという暗黙の了解のもとで働いていた。事件当日、部下たちは、短時間に何度も繰り返される多額の資金移動を異常だと感じていた。それでも、H氏から「後ほど説明します」と言われると、それ以上は聞けなかった。

「H部長のことだから、何か理由があるのだろう」

その正常性バイアスが、結果として送金を支えた。疲弊した上司。声を上げにくい部下。明文化されていない手順。

偽警察が入り込んだのは、そうした組織だった。

監査役会は何を見ていたのか

経理部の混乱は、経営陣や監査役に全く知られていなかったわけではない。経理部長の相次ぐ交代、H氏と別の経理部員の休職、新たな副部長の採用、H氏の復職は、取締役会や経営会議、監査役会に報告されていた。

それでも、オンラインバンキングの権限設定や振込上限、資金移動の承認ルールといった基礎的な内部統制に議論は及ばなかった。

はてなの監査役3人はいずれも10年以上在任し、上場前から顔ぶれが変わっていない。2023年8月以降に開かれた監査役会41回は、1回を除いて30分以内だった。監査計画の重点項目も、約3年間変更されていなかった。

会議時間が短いことだけで、直ちに監査が機能していなかったとは言えない。だが、会社の資金を扱う部署で管理職が相次いで交代し、部長を含む2人が同時期に休職するという異常なサインが出ていた。それにもかかわらず、監査役会はオンラインバンキングの設定や経理業務のマニュアル整備状況に踏み込まなかった。

独立した内部監査部門もなく、内部監査は他業務と兼務する2人が担当していた。2024年7月期と2025年7月期の経理部監査では、指摘事項は一つも見つかっていない。

特別調査委員会は、監査役会について、「職務意識の高さ及びリスク感度の高さは感じられなかった」と厳しく評価した。

経理部の問題が何度も報告されていたにもかかわらず、その事実自体をリスクの兆候として捉えられなかったことが、被害を防げなかった遠因だと指摘している。

栗栖義臣社長ら報酬返上　田中慎樹取締役は退任へ

はてなは調査報告書の公表に合わせ、栗栖義臣社長と田中慎樹取締役コーポレート本部長が、それぞれ月額報酬の20％を6カ月間、自主返上すると発表した。田中取締役は、次回株主総会での任期満了をもって取締役を退任する意向も示している。

事件の直接の引き金が、偽警察を信じたH氏の行動だったことは間違いない。偽の逮捕状を信じ、会社のパソコンを遠隔操作させ、虚偽の理由で社内資金を移し、二段階認証を繰り返した責任は軽くない。

だが、内部統制とは、「経理部長なら正しく判断するだろう」という信頼ではない。人が恐怖で判断を失い、間違った操作をしても、会社の資産を守れるようにする仕組みである。

1人では送金を完結できない権限設定。現実的な振込上限。複数人への入出金通知。根拠書類を伴う資金移動。異常を感じた部下が、役職を飛び越えて取引を止められるルール。いずれも、特別な技術ではない。

特別調査委員会も、オンラインバンキングの権限を規程通りに設定していれば事件は防げた可能性があり、上限額が適切に設定されていれば被害の拡大を抑えられたと結論づけた。

始まりは、偽警察からの一本の電話だった。だが、被害を11億7981万円まで膨らませたのは、社員の自主性と善意を、組織的な統制の代わりにしてきた会社の姿だった。

なお、調査報告書は、特別調査委員会に強制的な調査権限がなく、詐欺グループが遠隔操作したパソコン上の全操作が判明したわけではないと留保している。