はてな11億円流出事件をやさしく解説──偽の警察官と、2つの設定ミス

こんにちは、「IA Insight Lab（IAラボ）」管理人のHIROです。米国でGRC/内部監査専門のコンサルファームの代表をしています。このシリーズでは、公認不正検査士/公認内部監査人の私が世の中の不正や不祥事といったインシデントを分かりやすく解説します。今日は、東証グロース上場の株式会社はてな（証券コード3930）で起きた、約11億8千万円の資金流出事件について解説します。

2026年7月24日、はてな社は特別調査委員会の調査報告書（開示版）を公表しました。全54ページのその報告書には、たった2日間で会社の預金がほぼ空になるまでの経緯が、分単位で記録されています。

読み進めるうちに、私は何度も同じ場所で手が止まりました。この事件を止めるチャンスは、何度もあったからです。

記事全体のサマリー

本文を読み進める前に、まずは本記事のサマリー画像を掲載しますので、全体の理解促進にお役立ていただければ幸いです。

1. 不祥事の事案解説：はてなで実際に何が起きたのか

1-1. まず全体像──2日間で11億7,981万円

はてな社は「はてなブログ」「はてなブックマーク」で知られる京都発のインターネット企業です。2016年に上場し、事件当時は上場10年目にあたります。

2026年4月20日（月）と21日（火）の2日間で、同社の銀行口座から社外へ合計11億7,981万円が送金されました。送金先は、それまで一度も取引したことのない会社と個人の口座です。この2日間、同社の経理部長は、自分が「警察の捜査に協力している」と本気で信じていました。

ここで、事件直後に流れた見立てを整理しておく必要があります。当時、一部のセキュリティ解説メディアでは「BEC（ビジネスメール詐欺）ではないか」という推測が流れました。BECとは、取引先や自社の経営者になりすましたメールで偽の振込先に送金させる手口です。なお主要メディアの報道は「振り込め詐欺か」「虚偽の送金指示」という表現にとどまっており、BECと断定してはいませんでした。そして調査報告書の結論は、この推測とも違いました。

つまりこれは、警察官を名乗る特殊詐欺──報告書自身が「偽警察型詐欺」と呼ぶ手口──でした。個人が狙われる「オレオレ詐欺」の企業版と言い換えてもいいでしょう。入口はメールではなく電話とビデオ通話で、しかも犯人は被害者のパソコンを遠隔操作していました。手口がまったく違うので、ここは正確に押さえてください。

1-2. すべては、朝8時2分の一本の電話から

4月20日の午前8時2分。経理部長の私用スマートフォンに電話が入ります。相手は「千葉県警察」を名乗りました。通話は17分続き、18分後には別の番号からもう一度かかってきて16分話しています。

伝えられた内容は三つ。一つ目は「大規模な資金洗浄グループを捜査している」。二つ目は「警察内部にも関係者がいるため、捜査員には専用の携帯が配布されており、そこからかけている」。そして三つ目が決定打です。「あなた自身に資金洗浄への関与の疑いがあり、逮捕・拘留となるため出頭が必要だ」。

もちろん全部嘘です。しかし考えてみてください。上場企業の経理部長が、ある朝突然「マネーロンダリングに関与した疑いがある」と警察から告げられる。報告書はこの瞬間の心理をこう記しています。

1-3. 家族を遠ざけ、社長の名を出す──「孤立」させる技術

特殊詐欺の本質は、金を奪う技術ではありません。被害者を、相談できる相手から切り離す技術です。

犯人はまず家族への口外を禁じました。8時28分に通信アプリで接触し（アカウント名は「記録4612」）、8時35分にはビデオ通話へ誘導。通話中、「警察手帳」や「検察官証」とされるものを画面に提示します。相手は経理部長の氏名や生年月日をあらかじめ把握しており、本物らしさの演出には十分でした。

そして最も巧妙な一手が打たれます。犯人は「社長や取締役も、資金洗浄への関与の疑いで捜査対象になっている」と告げたのです。

これで社内に相談する道は完全に塞がれました。社長も上司も「容疑者」なのですから、報告すれば捜査妨害になる──そう思い込まされたわけです。さらに9時20分ごろ、経理部長は指示に従って同居家族に外出を依頼します。家族は9時45分ごろに家を出ました。自宅に一人きりの状態が、こうして完成します。

1-4. 10時39分、正体不明のアプリを自分でインストールした

10時3分から34分にかけて、犯人は偽の捜査資料、偽の逮捕状の写真、偽の銀行カードの画像を送りつけます。その偽カードに書かれた名前は、姓と名の順序が逆でした。冷静なら気づけたはずの綻びですが、パニック状態の人間には見えません。

そして10時39分。経理部長は指示に従い、リモートデスクトップアプリを、どのようなアプリケーションであるかを知らないまま、会社の貸与パソコンにダウンロードして実行しました。リモートデスクトップとは、離れた場所から他人のパソコンを操作できるようにするソフトです。10時42分に外部からの接続が確立し、犯人は経理部長のパソコンを自分の手元にあるかのように操作できるようになりました。

ここで内部監査の視点から見逃せない事実があります。はてな社のログ取得システムには、このリモートデスクトップの起動ログが記録されていました。報告書によれば、リアルタイムのモニタリングは実施していたものの、検知はできませんでした。承認していないアプリの実行を制限する仕組みもなく、貸与パソコンには管理者権限が付いていて、社員は誰でも好きなソフトを入れられる状態です。

記録は残り、監視もしていた。それでも異常として拾えなかった。これは他人事ではありません。

1-5. 二段階認証は、なぜ突破されたのか

11時40分、犯人はパソコンを直接操作し、ネットバンキングの振込画面から自分たちの口座への振込を申請します。

ここで壁が立ちはだかります。二段階認証です。振込を確定させるには、経理部長のスマートフォンに表示される内容を本人が確認し、操作する必要がありました。犯人はビデオ通話をつないだまま経理部長を別室に呼び出し、そこで操作させます。経理部長はディスプレイの角度を変えて画面を見えにくくし、犯人の監視下で作業しました。

このとき経理部長は「この操作をしたら本当に送金されてしまうのではないか」と疑問を口にしています。犯人の返答はこうでした。「これは凍結口座への振込だから振込には該当しない。捜査の一環であり、資金は後で戻る」。

経理部長はこれを信じ、二段階認証を実行。11時41分に9,999万円、11時59分にさらに1億円が流出しました。

技術としての二段階認証は、正しく作動していました。突破されたのは技術ではなく、人間の判断だったのです。

1-6. 「給与の準備で3億円を移したい」──社内の穴埋めが始まる

昼過ぎ、送金元だったY銀行の口座残高は数千円まで枯渇しました。普通ならここで終わりです。しかし、ここからが本件の恐ろしいところでした。

13時10分、経理部長は社内チャットで上司である取締役コーポレート本部長に宛て、こう投稿します。

「給与出金の準備にあたり、Y銀行にX銀行から資金移動3億円おこないたいのですが、本日移動してよろしいでしょうか。」

はてな社では、メイン銀行（報告書ではX銀行）に大半の資金を置き、給与やシステム利用料の支払いのため2〜3ヶ月に1回程度、別の銀行（Y銀行）へ資金を移す運用でした。だから「給与の準備で資金移動したい」という依頼は、まったく自然に見えたのです。理由はもちろん虚偽でした。

3分後、取締役から返信が来ます。「以前もあったようなことかと思いますので、必要であればお願いします」。

承認は下りました。13時44分に3億円が移され、その7分後からまた流出が始まります。15時8分には、残高は再び24,722円。なお同じころ、経理部長個人の口座からも被害が発生していたことが確認されています。

以降、この「空にする→穴埋めする→また空にする」サイクルが深夜まで繰り返され、翌日ぶんも含めて合計7回・9億4,000万円がメイン銀行から移されては、端から社外へ消えていきました。

そして重要な点があります。上司の承認を得たのは、この最初の3億円だけでした。残る6回・6億4,000万円は、承認依頼そのものが省略されています。上司の「必要であればお願いします」というコメントから突き放された印象を受け、自分の責任で実行してよいと指示されたと解釈した──報告書はそう記録しています。言葉の受け取り方ひとつが、被害額を数倍に膨らませたことになります。

1-7. 止まるチャンスは、少なくとも三度あった

ここが、この事件でもっとも学びの多い部分です。組織は三度ブレーキを踏みかけて、三度とも踏み切れませんでした。

一度目は13時34分、部下の気づきです。 経理部のメンバーが口座を確認し、チャットでこう質問しました。「確認です。サブ1、3口座の残高が少額になり、下記支払分が足りない状況です。何か運用等変わりますでしょうか？」。異常を正確に捉えています。

2分後の返答は、「その件について状況を把握済ですので、後ほど説明します。資金移動のほうを先にお願い致します。」

この一言で、部下は問いを重ねられなくなりました。以後、深夜に及ぶ異常な頻度・金額の資金移動を指示されても、「何かおかしい」とは思いながら、「部長のことだから何か理由があるのだろう」と考え、それ以上踏み込んで質問・相談することはありませんでした。報告書は、経理部内に「なんとなく質問しづらい」「部長は忙しそうだから、まずは自分で考えてから質問・相談をする」という暗黙の了解があったと指摘しています。

二度目は16時14分、銀行からの警告です。 Y銀行の支店から取締役に電話が入りました。「9,999万円の入金が3回あったようですがこれは何ですか？」。銀行は、9,999万円という金額が詐欺で頻出することを把握しており、スクリーニングで引っかけていたのです。

取締役はこれを経理部門のチャットに共有します。ただし、その締めくくりの一文がこの事件を象徴しています。

「入出金申請権限のためにそうされたのかなと思いますが、次回から金額の工夫をしたほうがいいかもです」

銀行が「詐欺の疑いあり」と鳴らした警報を、「システム上の技術的な引っかかり」として処理してしまったのです。取締役は自分が承認した3億円の給与用資金移動のことだと考え、銀行口座の入出金明細を直接確認しませんでした。もしこのとき明細を開いていれば、見知らぬ会社への巨額送金がずらりと並んでいたはずです。なおY銀行はこの前後、経理部長本人にも2回電話をかけていますが、いずれも応答はありませんでした。

三度目は19時52分です。 犯人の指示を受けた経理部長が、Y銀行の法人窓口に自ら電話をかけ、口座にかかっていた利用制限を解除させました。銀行が守ろうとしたブレーキを、被害者自身の手で外してしまったのです。

1-8. 28時間後、詐欺は一本の電話で終わった

4月20日は21時17分まで送金が続き、残高は34,722円になりました。まもなく犯人から「本日の捜査は終了する」と告げられ、21時24分、経理部長はパソコンを閉じます。それでも犯人の指示に従い、ビデオ通話をつないだまま就寝しました。

翌21日の朝8時30分、作業は再開。1億9,000万円が移され、10時19分に1億円、10時22分に5,000万円が流出します。そして10時53分、1,000万円の振込がエラーで失敗しました。Y銀行が、口座からの出金を止めていたのです。

11時、経理部長はY銀行の問い合わせ窓口に電話をかけます。約11分間、担当者と話すうちに──報告書の表現を借りれば──「冷静さを取り戻し、一連の指示が詐欺である可能性に気づき始め」ました。11時8分、自分のスマートフォンは監視されているおそれがあると考え、家族の携帯電話を借りて110番通報します。警察は告げました。そんな捜査プロジェクトは存在しない、と。

ほぼ同じ11時9分、取締役もY銀行からの電話を受けていました。口座を確認し、見知らぬ送金先への多額の支払いを認識。11時37分、チャットにこう投稿します。「すみません、Y銀行の昨日〜今日の出金があまりに多額で、しかも見たことがない会社であるように思うのですが、これは何ですか？説明してください」。3分後、経理部長が家族の携帯から折り返し、事実が報告されました。最初の電話から、およそ27時間半が経っていました。

なお報告書は、顧客情報や社内の業務データが外部に持ち出された形跡は確認されなかったと結論づけています。ただしリモートデスクトップは画面の録画ログが標準では残らないため、遠隔操作中に画面に映っていた情報を犯人が「目で見て」盗んだ可能性は完全には排除できないとも付記されています。誠実な書きぶりだと思います。

2. なぜ11億円まで膨らんだのか：2つの設定と、開いたままの穴

2-1. 一人で振込を完了できる設定になっていた

ここからが本題です。騙されたこと自体は防ぎきれなかったかもしれません。しかし被害額を11億円まで膨らませたのは、詐欺の巧妙さではなく、社内の設定でした。

はてな社の経理規程には、お金を出す担当者とそれを承認する責任者を兼務してはならない、と明記されていました。会計の世界で「職務の分離」と呼ばれる、もっとも基本的なルールです。一人が「申請」と「承認」の両方を握れば、その人が間違えたときも、悪意を持ったときも、誰も止められなくなるからです。そして日々の業務運用では、このルールは守られていました。振込データを作る人と承認する人は、きちんと分かれていたのです。

ところが──ネットバンキングのシステム上の設定は、規程と食い違っていました。Y銀行のシステムでは、経理部長のアカウント一つで振込データの作成・申請と承認の両方が実行できる状態だったのです。

原因は、権限を付け替えるときの単純なミスでした。経理部長への昇進に伴い、本来は「作成・申請権限に代えて承認権限を付与する」べきところ、実際には「作成・申請権限に加えて承認権限が付与」されたのです。報告書は、前任者が引き継ぎの過程で自分と同じ設定を複製したのだろうと推察しています。

そして決定的なのが次の事実です。取締役も経理部長も、この権限設定の状況を把握していませんでした。

一方、メイン銀行のX銀行のシステムは、同じアカウントに作成権限と承認権限を同時設定できない仕様でした。その結果どうなったか。X銀行の口座からは、社外への流出は一円も発生していません。 銀行のシステム仕様の違いが、被害の有無を分けた。これほど雄弁な対比はありません。

2-2. 上限金額は、初期設定のままだった

もう一つの設定が、被害額を決めました。

ネットバンキングには通常、「一日にいくらまで承認できるか」という上限金額を設定できます。この経理部長のアカウントの承認上限額は──初期設定の999,999,999,999円のままでした。約1兆円です。

なぜ誰も設定しなかったのか。報告書に記録された両者の認識が、見事にすれ違っています。取締役は「アカウント管理は経理部長が担当者と考えていたため、送金上限額のモニタリングは行っていなかった」と述べ、経理部長は「自分は副責任者であり、責任者は取締役だという認識だったため、自身の上限金額を設定しなければならないという認識はなかった」と述べました。

二人とも、相手がやっていると思っていた。そして権限設定を定期的に見直す（棚卸しする）ルールも存在せず、実際に棚卸しも行われていません。だから、誰も気づけなかったのです。

2-3. 通知は「有料オプション」で、契約していなかった

三つ目の穴は、拍子抜けするほど単純です。

両行のネットバンキングには、入出金があったときや残高が設定額を下回ったときにメールで知らせる機能がありました。ただし有料のセキュリティオプションです。はてな社は、これを契約していませんでした。

理由は「前任者の在任時の取扱いをそのまま継続していた」から。前任者の退職後、入出金の異常検知や残高管理のリスクを踏まえて必要性を再検討することは、ありませんでした。

もし通知が有効になっていれば、4月20日の午前11時41分、9,999万円が出た瞬間に関係者のメールが鳴っていたはずです。報告書は再発防止策として、無料のメール通知設定と、有料のセキュリティオプションの両方を検討すべきだと提言しています。多くの企業が今日すぐ点検できるポイントです。

2-4. 資金移動には、そもそも会社のルールがなかった

最後の穴は、もっとも根深いものです。銀行から銀行への資金移動について、明確なルールが存在しませんでした。経理部長がチャットに指示を書き込むだけで実行でき、根拠書類も不要でした。

実際には、概ね1,000万円以上の場合は上司にチャットで承認を求める運用が行われていました。しかしこれは会社が定めたルールではなく、経理部長個人の判断で始めた「個人ルール」です。報告書の評価は冷静で、この個人ルールは平時には一定の意味を持ちうるが、本人の誤認や故意の回避によって簡単に機能不全になる、としています。事実、2回目以降はあっさり省略されました。

加えて、この上司はチャットの全投稿を見られる立場にありましたが、自分がメンションされた投稿だけを確認する運用でした。そしてそのことは経理メンバーに明確には周知されていません。だから経理メンバーはこう思っていたのです。「チャットが見えていても何も言ってこないし、金額が大きかったので当然、上司は事情を知っているものと思った」。報告書はこれを「正常性バイアス」と呼んでいます。異常の兆候を、正常の範囲内だと解釈してしまう心の働きのことです。

3. 背景にあった3年間：経理部はなぜ壊れたのか

3-1. 属人化した二人が辞め、入社4ヶ月目の部長が生まれた

ここまで読んで、「なぜそんな杜撰な状態が放置されていたのか」と思われたはずです。報告書は、その答えを3年間の経緯として描いています。

はてな社の経理は長年、2012年入社の経理部長と2014年入社のメンバーの二人が回していました。経理規程はありましたが、業務マニュアルも手順書も判断基準も文書化されておらず、すべてが二人の経験に依存する「属人化」「ブラックボックス化」した状態です。二人が回している限り問題は表面化せず、だから改善もされません。

ところが2024年7月末、本決算を目前にして二人が突然退職の意向を示します。引き継ぎはほとんど行われないまま8月末に退職し、「何が行われていたか」を知る人が社内から消えました。

会社は急いで採用します。2024年11月に入社したのが、後に事件の当事者となる経理部長でした。経理経験は約19年半。ただし採用時、社長と役員たちは部門をマネジメントした経験の不足と、少人数組織での経理経験がないことを懸念しています。それでも喫緊の状況から実務経験の豊富さが優先され、2025年2月、入社4ヶ月目で経理部長に昇進しました。

その後の残業時間は、5月54時間、6月56時間、7月81時間、8月102時間と積み上がります。しかもこれとは別に、7月は休日労働が59時間、8月は100時間ありました。2025年9月、経理部長は体調を崩して休職。 同時期に部下の一人も休職しました。会計監査人は同月、監査結果報告書で「来期以降の主な検討課題」として「経理部の立て直しについて」を指摘しています。外部の専門家は、はっきり警告していたのです。

3-2. 引き継がれなかったのは「リスク感覚」だった

ここに、内部監査人として最も重く受け止めるべき指摘があります。

経理部長への引き継ぎは「引継書」で行われましたが、その中身は当面の業務を回すための処理手順、資料の在り処、関係者とのやり取りが中心でした。引き継がれなかったものを、報告書はこう列挙します。事務ミスのリスク、横領や不正支出を含む経理・財務のリスク認識、整備すべき管理体制、そして経理部長として担うべき役割と責任。

そもそも前任者自身も、その前任者からほとんど引き継ぎを受けておらず、経理部長として実務に関与した期間は半年程度。断絶が二代にわたって連鎖していたのです。

2026年2月に復職した際も、資金管理を含む従前の権限がそのまま戻されました。報告書は指摘します。資金管理の権限は、不正・誤謬・外部からの詐欺的誘導によって悪用されうる重要な権限であり、本人への配慮とは別に、統制上の観点から改めて検討したうえで付与する必要があった、と。

そして報告書は、もう一歩踏み込みます。休職中に、自分の職務を代替しうる経理責任者（経理部副部長）の採用が決まったことへの不安、残業の実態をめぐる会社との認識の食い違い。こうした経緯から経理部長は会社への不信感を強めており、それを遠因と位置づけたのです。

犯人が「社長も捜査対象だ」と告げたとき、その嘘は、すでにあった不信感の上に落ちたのです。組織の人間関係は、セキュリティの一部である──この事件が突きつける、最も重い教訓かもしれません。

4. 監査は、どこで気づけたのか

4-1. 経理部の内部監査は、事件の直後に予定されていた

はてな社には、独立した内部監査部門がありませんでした。社長直属の内部監査担当者2名が、自分の所属部門を除く全社を兼務でカバーする体制です。しかもその2名のうち1名は、経理を管掌する取締役本人でした。2024年7月期と2025年7月期の経理部に対する内部監査では、指摘事項は一件も出ていません。

そして痛切な事実があります。2026年7月期の経理部に対する内部監査は、2026年4月下旬に予定されていました。 事件が起きたのは4月20日と21日。監査は実施される直前に事件が起き、行われませんでした。

報告書の評価は率直です。兼務2名の体制では監査の専門性が不足し、監査対象業務への理解も不十分だった。経理業務のブラックボックス化、経理部長の相次ぐ交代、休職といった異常事態が続いていた経理部には様々なリスクが生じていたはずであり、本来なら内部監査がタイムリーに監査し、是正を促す必要があった──と。

4-2. 監査役会は「6日前」に報告を受けていた

監査役会にも、情報は繰り返し届いていました。2024年8月に経理担当者2名の退職について、2025年12月に経理部長と部下の休職について、そして──事件のわずか6日前にあたる2026年4月14日の第161回監査役会で、経理体制の経緯と現状について再び報告がなされています。決議された内容は「引き続き注視し、必要があれば検討する」でした。

しかし監査役会は報告以上の情報を持たず、休職についても「業務過多によるもの」という認識にとどまります。社外監査役2名は2024年頃以降、実務的な連絡会に参加しておらず、常勤監査役を通じた報告を受けるのみ。監査計画上は内部統制責任者からの報告が年2回予定されていましたが、2023年12月を最後に実施されていません。

第7章「総括」に、私が何度も読み返した一節があります。

「何度も報告に来ること自体が、リスクのシグナルだった」。監査に携わるすべての人が胸に刻むべき指摘だと思います。

報告書は同時に、逃げ道も塞いでいません。過去に大きな事故がなく、役職員が優秀で自主性とリテラシーを備えていたことが、かえって感度を鈍らせた理由かもしれない、と分析しています。「今まで何も起きていない」は、統制が効いている証明にはならない。 ただ運が良かっただけかもしれないのです。

5. 本事案から学ぶこと：今日、自社で確認できる5つのこと

5-1. 「一人で完結しない」を、運用ではなく設定で担保する

最優先で確認すべきは、ネットバンキングの権限設定です。規程で職務分離を定めていても、システムの設定がそうなっていなければ意味がありません。はてな社がまさにそれでした。規程は正しく、日常運用も正しく、システム設定だけが間違っていたのです。

今日、経理担当者に聞いてみてください。「うちのネットバンキングは、一人のIDで振込の作成と承認の両方ができますか？」。答えが「たぶん、できないはずです」なら、それは確認していないということです。

報告書はさらに一歩踏み込みます。アカウント管理者権限を経理部とは別の部署（情報システムチームなど）に置き、経理部の権限は「利用者としての実行権限」に限定すること。使う人と、権限を設定する人を分けるという発想です。

5-2. 上限金額を、資金需要に合わせて決める

二つ目は承認上限額です。初期設定のまま放置されていないか。自社が実際に必要とする資金需要から逆算した金額になっているか。報告書は、上限額が適切に設定されていれば被害額の拡大を抑えられたと明言しています。いくらに設定すべきかは会社ごとに違いますが、「誰も決めていない」という状態だけは、どの会社でも今日なくせます。

5-3. 通知をオンにする──宛先は、必ず複数に

三つ目は入出金と残高低下のメール通知です。有料オプションであっても、契約する価値があります。

そしてこれは報告書の提言そのものではなく私の実務上の意見ですが、通知の宛先を担当者一人にしないことが肝心だと考えています。経理部長のメールにだけ届く設定なら、その人が騙されている状況では意味がありません。上司や別部門にも同報されて初めて、統制として機能します。

5-4. 遠隔操作アプリは「カテゴリ」で止める

四つ目は貸与パソコンの管理です。報告書は「事前の制限」と「事後の検知・対応」の両面から強化すべきだと提言しています。

事前の制限として特に実践的なのが、この考え方です。特定のアプリ名をブロックするのではなく、「遠隔操作・画面共有・外部接続を可能にするアプリ」をカテゴリとして制限する。個別のアプリ名を指定する方式では、新種のツールが出るたびに後追いになり、必ず穴が空くからです。

そして事後の検知として、EDR（端末の不審な挙動を検知する仕組み）で未承認アプリの起動や不審な外部通信を捉える。はてな社ではログは取れていたのに、リアルタイム監視が機能せず検知できませんでした。ログを取ることと、ログを見ることは別の作業です。

5-5. 「偽警察型詐欺」を、名指しで研修する

五つ目が教育です。ここには重要な示唆があります。

はてな社は、セキュリティ教育をやっていなかったわけではありません。年1回の理解度テストを実施し、社内サイトで注意喚起も配信していました。事件の3ヶ月前の2026年1月には「社内の人を装う偽メールやメッセージにご注意ください」というソーシャルエンジニアリングの記事も出ています。

では、なぜ効かなかったのか。報告書の分析が鋭いのです。理解度テストの内容は全体として平易で、事前学習なしでも多くの設問に正答できるものでした。実際、回答者全体の平均点は3年連続で9割超。「全員が高得点を取れるテスト」は、理解度を測る仕組みとして機能していなかったわけです。社内サイトの記事が実際に読まれたかを把握する仕組みもありませんでした。

報告書の提言は具体的です。朝会などの日常の場ではなく、定期的に研修の時間をとり、偽警察型詐欺、役員へのなりすまし、取引先へのなりすましといった具体的な手口を名指しで周知すること。そして一般的な注意喚起にとどまらず、実際に詐欺と思われる行為にあったときに取るべき行動・避けるべき行動、迷った場合の報告先まで具体的に伝えることです。

「怪しいメールに注意」では、人は動けません。「警察を名乗る電話が来て、口外するなと言われたら、それは詐欺です。まず総務に電話してください」──ここまで具体的にして、初めて教育は防御になります。

6. おわりに：これを「リテラシーの問題」にしてはいけない

6-1. 報告書が最後に書いたこと

事件の代償は小さくありません。株価は公表翌営業日の2026年4月27日、前週末終値1,181円から値幅制限いっぱいの300円安となる881円の売り気配のまま、終日値がつきませんでした。同社は被害額11.79億円を特別損失に計上し、2026年7月期の業績予想を当期純損失7.67億円へ修正。社長と担当取締役は月額報酬の20％を6ヶ月間自主返上し、担当取締役は次回株主総会での任期満了をもって退任する意向を示しています。

そのうえで、報告書は最後にこう書きました。

そして、この事件の核心を一文で言い切りました。

11億円を分けたのは、人の賢さではなく、設定でした。

6-2. 明日、あなたが最初にやるべきこと

私がこの報告書から受け取った最大のメッセージは、再発防止の基本方針として書かれた次の一文です。

人は騙されます。優秀でも、経験19年でも、騙されます。ならば設計すべきは「騙されない人」ではなく、「一人が騙されても、組織の金は動かない仕組み」です。

この記事を読み終えたら、ぜひ一つだけ行動してください。経理の担当者に、こう聞いてみるのです。

「うちのネットバンキング、一人のIDで振込の承認まで完了できる設定になっていませんか？　あと、承認の上限金額はいくらに設定されていますか？」

もし答えが即座に返ってこなければ、それは、はてな社と同じ状態かもしれません。この質問には5分もかかりません。そして、その5分が数億円を守る可能性があります。

内部監査の仕事とは、結局のところ、「誰も見ていない場所を見に行くこと」なのだと、この報告書は改めて教えてくれました。

この記事は、私個人の専門家としての継続学習のため、また読者の方々の学習のために投稿しています。「いいね」や「フォロー」で応援いただけると励みになります。それでは、次回の記事でお会いしましょう！

引用元

株式会社はてな「特別調査委員会による調査報告書の公表及び役員報酬の一部自主返上に関するお知らせ」（2026年7月24日）／特別調査委員会「調査報告書（開示版）」（2026年7月17日）

https://ssl4.eir-parts.net/doc/3930/tdnet/2856001/00.pdf

株式会社はてな「資金流出事案の発生に関するお知らせ」（2026年4月24日） 株式会社はてな「特別損失および繰延税金資産の計上、並びに通期業績予想の修正に関するお知らせ」（2026年6月12日）

#内部監査 #IA_Insight_Lab #不正 #コンプライアンス #特殊詐欺