概要
株式会社はてな（東証グロース市場、証券コード: 3930）は2026年7月24日、同年4月に発生した特殊詐欺（警察官なりすまし詐欺）による不正送金事案の特別調査委員会調査報告書を公表した。被害額は約11億8,000万円にのぼり、経理部長が「千葉県警察」を名乗る詐欺グループに信用させられ、業務PCへのリモートデスクトップアプリのインストールと二段階認証の承認を通じて法人口座から資金が流出した。個人情報・顧客情報の外部流出は確認されていない。
目次
1. 何が起きたか
| 項目 | 内容 |
|---|---|
| 被害企業 | 株式会社はてな（東証グロース市場、コード: 3930） |
| 事案発生 | 2026年4月20日〜21日 |
| 公表日 | 2026年7月24日 |
| 事案種別 | 特殊詐欺（警察官なりすまし詐欺）・ソーシャルエンジニアリング攻撃 |
| 被害額 | 不正送金合計：約11億7,981万円 |
| 個人情報漏洩 | なし（確認されていない） |
2026年4月20日、はてな社の経理部長（以下「H氏」）が通信アプリで「千葉県警察」を名乗る詐欺グループから接触を受けた。詐欺グループは「捜査に協力してほしい」という口実でH氏を信用させ、業務PCへのリモートデスクトップアプリのインストールを誘導。PCの遠隔操作権限を獲得した詐欺グループは、H氏に二段階認証を承認させながら2日間にわたって複数回の不正送金を実行した。
2. 攻撃の時系列
2026年4月20日（月）
| 時刻 | 出来事 |
|---|---|
| 朝 | H氏が通信アプリで「千葉県警察」を名乗る詐欺グループから接触を受ける |
| 午前 | 詐欺グループの指示でH氏が業務PCにリモートデスクトップアプリをインストール |
| 10:59 | 詐欺グループがH氏のPCを遠隔操作してY銀行WEB振込画面を操作開始 |
| 11:41 | Y銀行メイン口座から9,999万円の不正送金（1回目） |
| 11:59 | Y銀行メイン口座から1億円の不正送金（2回目） |
| 13:00〜 | Y銀行残高が枯渇。詐欺グループの指示でH氏がビジネスチャット経由で上司に「3億円の資金移動」を依頼・承認を取得 |
| 17:00〜21:00 | X銀行からY銀行への資金移動を繰り返しながら不正送金を継続 |
| 夜 | H氏は詐欺グループとのビデオ通話を維持したまま就寝 |
詐欺グループは「振込は凍結口座への送金で捜査の一環であり、後で資金は戻る」と説明。H氏は自ら二段階認証を承認し続けた。
2026年4月21日（火）
| 時刻 | 出来事 |
|---|---|
| 8:30 | 詐欺グループがH氏に再連絡。リモートデスクトップ接続を再確立 |
| 午前 | H氏が在宅勤務を申請してさらに送金を実行 |
| 10:19 | 1億円の不正送金 |
| 10:22 | 5,000万円の不正送金 |
| 11:00 | H氏がY銀行問い合わせ窓口と通話中に詐欺に気づく |
| 11:00頃 | H氏が家族の携帯電話で110番通報。警察より「そのような捜査プロジェクトは存在しない」と告げられ詐欺と確認 |
| 11:00頃 | 警察の指示でPCのインターネット接続を遮断。詐欺グループのリモートアクセスを遮断 |
3. 内部統制の問題点
調査報告書は、今回の被害拡大を招いた根本原因として以下の問題を指摘している。
オンラインバンキングの権限管理
- H氏の振込承認に上限金額が設定されていなかった
- 権限設定が経理規程と乖離しており、定期的な棚卸も未実施
- 入出金・残高通知メールが未設定（異常な取引のリアルタイム検知ができなかった）
資金移動の承認プロセス
- ビジネスチャット上での依頼だけで多額の資金移動が承認できてしまう状態だった
- 職務分掌が機能していなかった
経理体制の問題
- 業務マニュアルが未整備でブラックボックス化していた
- H氏は復職直後（2026年2月）で就業制限がある状態にもかかわらず全権限が付与されていた
ITセキュリティ対策の不備
- 未承認アプリケーションの実行制限が未整備（リモートデスクトップアプリのインストールをログで検知したが、リアルタイムアラートも実行制限もなかった）
- 特殊詐欺・ソーシャルエンジニアリングに関する教育・研修が不足していた
H氏個人の行動
- 単独で「捜査協力」に対応し、上司・同僚に一切相談しなかった
- パスワード等の重要情報をデスクトップに保存していた
- 二段階認証のワンタイムパスワードをビデオ通話越しに詐欺グループに見せていた
4. 再発防止策
調査委員会は以下の再発防止策を提言し、はてな社が実施予定としている。
| カテゴリ | 対策内容 |
|---|---|
| 資金移動の内部統制 | ワークフローシステムによる承認プロセスの整備（チャット単独承認の廃止）、資金移動ルールの明確化 |
| オンラインバンキング管理 | 最小権限の原則の適用、振込・資金移動上限金額の設定、職務分掌の導入、定期的な権限棚卸、入出金・残高通知メールの設定 |
| 経理体制の可視化 | 業務マニュアルの整備、担当業務の属人化解消 |
| 教育・研修 | 全社員向け特殊詐欺・ソーシャルエンジニアリング対策研修の実施 |
| ITセキュリティ | 未承認アプリケーションの実行制限、MDM・EDRの活用によるリアルタイム検知・遮断 |
5. 情シス担当者が今すぐ確認すべきチェックリスト
本事案を踏まえ、情シス担当者・一人情シスが今すぐ実施できる対策をまとめる。
オンラインバンキングの権限設定
- 担当者ごとに振込・資金移動の上限金額が設定されているか確認する
- 現在の権限が経理規程・業務実態と一致しているか（最小権限の原則）を確認する
- 権限の棚卸スケジュールを設定する
- 入出金・残高通知メールを設定する（未設定の場合は今日中に）
未承認アプリのインストール・実行制限
- MDM・エンドポイント管理ツールで未承認ソフトウェアのインストール・実行をブロックしているか確認する
- EDRでリアルタイムのアラートが機能しているか確認する（ログの後確認だけでは不十分）
資金移動の承認フロー
- 高額の資金移動（例: 100万円以上）にビジネスチャット以外の承認経路があるか確認する
- 複数人の承認を必要とする職務分掌が導入されているか確認する
特殊詐欺・ソーシャルエンジニアリング対策の研修
- 「警察・行政機関から業務PCへのアプリインストールを求めることはない」という知識を全社員に周知する
- 二段階認証のOTPは誰にも（警察にも）見せてはいけないというルールを徹底する
- 不審な指示を受けた場合に一時停止して上司・情シスへ相談できる文化・ルールを整備する
権限集中リスクの確認
- 復職直後・異動直後の担当者に過大な権限が付与されていないか確認する
- 単独で多額の資金を動かせる担当者がいないか（属人化の確認）を実施する
6. まとめ
はてな社の事案は、高度な技術的攻撃ではなく人的・組織的な内部統制の欠陥を突いたソーシャルエンジニアリングによるものだった。被害額の約11億8,000万円は、一人の担当者の行動だけでなく、権限管理・承認プロセス・教育体制の複合的な不備が積み重なった結果だ。
情シス担当者として重要な教訓は「技術的なセキュリティ対策と人的セキュリティ対策を車の両輪として整備すること」だ。最小権限の原則、上限金額の設定、未承認アプリのブロック、そして定期的な特殊詐欺対策の研修―これらは今日から実施できる対策だ。
「うちはITの会社だから大丈夫」「銀行口座の設定まで情シスの仕事か？」という声もあるが、本事案はまさにその「盲点」を突かれた事例だ。システム的なセキュリティと組織・業務の両面から対策を見直すきっかけにしてほしい。