はてな11億円流出の裏で起きていた「ルールの形骸化」 インシデントの深層：調査報告書から読み解くセキュリティの落とし穴

警察関係者を装った詐欺により11億円もの資金流出が起きたはてな社の事案。2026年7月に公表された調査報告書を読み解くと、個人頼みの属人的な運用やシステムによる制御の欠如という、多くの企業にも通じる課題が浮かび上がった。

[＠IT]

　はてなが2026年7月に公表した資金流出事案の調査報告書は、セキュリティ対策を講じる企業であっても免れない「組織の弱点」を浮き彫りにしている。

　資金流出事案の概要はこうだ。2026年4月20日と21日、同社の経理部長が警察関係者を名乗る詐欺グループによって捜査協力の一環と信じ込まされ、同社の銀行預金口座から外部の銀行口座へ11億7981万円を送金。結果として多額の資金が流出する事態となった。なお、個人情報や顧客情報が外部に持ち出された形跡は確認されていない。

　この事案を受け、同社は代表取締役社長と取締役コーポレート本部長が役員報酬月額の20％を6カ月間自主返上すると発表。また経営責任を明確にするため、取締役コーポレート本部長は、次回の株主総会での任期満了をもって取締役を退任する意向を示している。

　調査報告書が明らかにした送金実行に至る大まかな流れは以下の通り。

• 警察官を装う詐欺グループに接触され、コントロールされた経理部長（H氏）が、貸与PCにリモートデスクトップを無断導入。PC画面が詐欺グループから常時監視される状態となった
• H氏は詐欺グループの指示に従い、オンラインバンキングに自ら正規ログイン。詐欺グループがH氏を別室に移動させた後、貸与PCを遠隔操作し、振込先や金額を入力・申請した
• 送金に必要な二段階認証については、詐欺グループに「捜査用のダミー処理」とだまされたH氏が、自身のスマートフォンを使って正規に実行した。その後の銀行間の資金移動の指示やその資金移動の承認操作も、H氏が自らの手で実行した

　正規の権限を持つ経理部長本人の承認・認証操作により、わずか数日間で約11億8000万が流出する事態となった。

「Excelにパスワード」「管理者権限でリモートデスクトップ」　ポリシー形骸化

　特別調査委員会は、詐欺グループの指示に従ったH氏本人の行動上の問題として次の7点を挙げている。

1. 「会社の役職者の逮捕」という重要な情報に対して確認作業を怠り、単独で対応した
2. 業務で利用しないリモートデスクトップを貸与PCにダウンロードして実行した
3. パスワードなどの重要な情報をデスクトップに保存していた
4. 銀行間で3億円を資金移動する際に「給与支払いのため」という虚偽の理由を述べて承認を得た
5. 続く6回の資金移動（計6億4000万円）について承認を得ておらず、被害額が拡大した
6. 経理メンバーからの口座残高に関する質問への回答を回避した
7. 二段階認証で携帯電話の画面に表示される情報を確実に確認していなかった

　はてなのセキュリティポリシーでは、許可されたWebサービスのみの業務利用を認めていた。しかし、従業員の貸与PCには管理者権限が付与されており、ソフトウェアを自由にインストールおよび実行できる状態だった。そのため、H氏はポリシーに違反してリモートデスクトップを貸与PCにダウンロードし、実行した。これにより、貸与PCの画面は詐欺グループから常時監視・確認できる状態となった。

　パスワード管理については「パスワードマネジャーの利用を基本とする」というセキュリティポリシーが定められていた。しかしH氏は「不慣れなツールで管理して万が一アクセスできなくなると業務に支障が出る」という懸念から、使用していなかった。結果として、パスワード未設定のExcelファイルに認証情報を記録し、デスクトップの「新規フォルダ」内に保存するというポリシーの形骸化が生じていた。

　一方、資金流出に至った背景として、前任者の急な退職による引き継ぎ不足、月100時間超の過酷な労働による休職、そして復職後にダブルチェック体制を敷くことなく広範な権限をそのまま戻すなど「会社の配慮欠如があった」と報告書は指摘する。上司との認識乖離（かいり）から不信感を募らせ孤立したことが、周囲に相談できず単独で対応を続けてしまった要因と分析されている。

ガバナンスも形骸化　経営陣の監督不全も指摘

　特別調査委員会は、会社の内部統制が適切であれば「被害の発生を防止、または大幅に縮小できた」と分析している。

　オンラインバンキングの権限設定や承認上限額の設定、不適切なアカウント管理、通知機能の未活用といったシステム面での統制が不十分な状態にあった。「ルールとしての職務分掌は存在するものの、それを強制する物理的なシステム設定が伴っていなかった」という点が「特に重大な不備」として指摘されている。

　経営陣はコーポレート本部トップらが内部監査を兼務する脆弱（ぜいじゃく）な体制を放置していた。また監査役会も形骸化（直近41回中ほぼ全てが30分以下で終了）しており、会計監査人からは「経理部の立て直しが必要」と警告されていたにもかかわらず、調査や検証をせずに見過ごしていた。資金移動のルールがあいまいで属人的な運用に依存した結果、不正をシステム的・組織的に防止・検知する仕組みが機能しない状態に陥っていたという。

単独で送金が完結しない業務設計へ

　再発防止策として特別調査委員会は、個人の自主性やリテラシーに依存せず、単独で不正または異常な送金が完結しない業務設計を求めている。

• 決済・承認フローのシステム化：資金移動はワークフローシステムで申請、承認し、オンラインバンキングは権限付与方針と取扱限度額を明文化してアカウント管理者権限を経理部と異なる部署に集約する
• エンドポイントセキュリティの強化：貸与PCでは、遠隔操作や画面共有を可能とするアプリケーションをカテゴリー単位で遮断。すり抜けた場合に備え、EDR（Endpoint Detection and Response）などで未承認アプリケーションの起動や不審な外部通信を検知、隔離する体制を整備する

　「個人のリテラシーのみに依存することは組織の資産を守るという点では不十分であり、オンラインバンキングのアカウント設定が規定通りであれば本事案の発生を防ぐことができ、承認上限金額が適切に設定されていれば被害金額の拡大を抑えられた」と、報告書は結論付けている。