はてな11億円が消えた日、同じ会社の別口座は1円も流出させない設定だった

11億7,981万円と、0円。2026年4月20日、同じ担当者が管理していた二つの銀行口座から出ていった金額である。

株式会社はてな（3930）が7月24日に公表した特別調査委員会の調査報告書は、この差が何によって生じたのかを特定している。注意力の差ではない。オンラインバンキングの権限設定の違いだけだ。

■ 4月20日8時2分から始まった

朝8時2分、経理部長の私用携帯に電話が入った。相手は大規模な資金洗浄グループを捜査していると名乗り、本人にも関与の疑いがあるため逮捕・拘留になると告げた。家族への口外は禁じられた。

ビデオ通話では警察手帳と検察官証とされるものが示され、社長と本部長も捜査対象だと告げられた。以後の指示はすべて「捜査協力」だと説明され、10時34分までに偽の捜査資料と偽の逮捕状の写真が届いた。

10時39分、経理部長は業務では使うことのないリモートデスクトップを、それが何をするアプリケーションかを知らないままダウンロードして実行した。3分後に外部からの遠隔接続が確立した。

11時41分、Y銀行のメイン口座から9,999万円が送金された。二段階認証を通したのは経理部長本人である。凍結口座への振込だから資金は後で戻る、と説明されていた。11時59分に1億円、12時17分に7,439万円、12時24分に233万円、12時36分に313万円。Y銀行の各口座は残高が数千円になるまで払い出された。

送金は翌21日まで続き、経理部長が銀行の問い合わせ窓口と話すうちに冷静さを取り戻して家族の携帯電話から110番したことで止まった。

■ 0円と11億円を分けたもの

はてなの経理規程は、振込データを作る人と承認する人を分けると定めていた。作った本人が承認できなければ、一人の判断だけで金は動かない。日常の業務運用では、この分掌は守られていた。

乖離していたのはシステムの側だ。Y銀行のオンラインバンキングでは、経理部長のアカウント一つで作成も承認もできる設定になっていた。規程が分けていた二つの役割を、システムは分けていなかった。

X銀行は違った。同一アカウントに両方の権限を設定できない仕様だったため、経理部長単独では振込が実行できない。遠隔操作を握られていたにもかかわらず、詐欺グループはX銀行の口座から1円も出せなかった。

この設定さえできていれば被害は防ぐことができた、と報告書は書いている。

被害額の側にも設定の問題がある。経理部長のアカウントには承認上限金額が一切なく、残高が尽きるまで払い出せた。入出金と残高割込のメール通知も未契約だった。異常を止める仕組みと、気づく仕組みが、二重に外れていた。

■ 強い設計は、弱い口座に迂回された

ここで終われば、X銀行の設計が正しかったという話になる。報告書はその先を書いている。

Y銀行の残高が数千円になった13時10分、経理部長は社内チャットで上長に依頼を出した。給与出金の準備にあたりX銀行からY銀行へ3億円を移動したい、という内容だ。3分後に承認が下りた。この日、X銀行からY銀行へ移された資金は合計9億4,000万円にのぼる。

X銀行の設計は「この口座から直接は出せない」を守り切った。守れなかったのは「弱い口座に移してから出す」だ。強い設計と弱い設計が同じ会社に同居していると、資金は弱い方へ吸い寄せられて出ていく。

承認そのものは下りている。機能していなかっただけだ。資金移動には会社のルールも根拠書類もなく、他の経理メンバーは金額が大きいのだから上長は事情を知っているはずだと考えていたと答えている。

■ 権限設定が放置されていた理由

なぜ基本中の基本が放置されたのか。報告書は経理部の人員構成に原因を求めている。

長年経理実務を担ってきた担当者らが2024年7月期末に突然退職し、属人化していた業務知見が後任に承継されなかった。その後任も就任から半年足らずで退職の意向を示す。入社4ヶ月目の人物が2025年2月に経理部長へ昇進し、本決算を終えたところで業務過多により休職した。

この経理部長が、4月20日に詐欺グループの電話を受けた本人である。復職したのは2026年2月で、資金管理を含む権限を戻された状態のまま4月20日を迎えた。復職明けに資金周りの権限を全面的に付与したことを、委員会は原因の一つに挙げている。

日常業務に追われ、ブラックボックス化した業務を解きほぐす余裕はなかった、というのが委員会の評価だ。権限の棚卸しはルールも実施もなく、誰がどの口座でいくらまで一人で動かせるのかを確認する機会がなかった。

人を補充しなかったことの請求書が、11億7,981万円という形で届いたことになる。

■ 11億円を失った年に、株価は上がっている

4月24日の終値は1,181円で、この日の引け後に資金流出が開示された。翌営業日の4月27日の終値は881円。ちょうど300円安の、値幅制限いっぱいのストップ安である。出来高は27,600株しかない。売り注文ばかりが並んで買いがつかず、商いがほとんど成立しなかったということだ。翌28日は923円まで戻し、出来高は前日の40倍の1,107,100株に膨らんだ。

5月14日の830円が2026年の安値である。調査報告書の受領を開示した7月17日は1,086円で2.8%安、報告書と役員報酬の自主返上を公表した7月24日は1,106円で0.9%高。報告書の中身に、市場はほとんど反応していない。

4月27日の時点で分かっていたのは流出額だけで、原因が判明したのは7月の報告書公表時である。それでも下値が切り下がらなかったのは、後から出た情報がいずれも悪材料にならなかったからだ。顧客情報の持ち出しは確認されず、本業は毀損していない。

現在の1,106円は、開示直前の1,181円からは6.4%下、1月5日の884円からは25.1%上にある。11億円を失った年に、株価は上がっている。ただし開示には、流出資金の回収状況も、保険による補填も、損失計上額も書かれていない。金額のインパクトを測る材料は、まだ出ていない。

■ ひとり商いは、申請する人と承認する人が同じになる

調査委員会は、個人の自主性やリテラシーに依存せず、単独で異常な送金が完結しない業務設計にせよ、と提言している。担当者のリテラシーを問う見方と、手口が進化しておりリテラシーがあっても騙されるという見方を並べたうえで、個人に依存する防御では組織の資産は守れないと結論している。

はてなには経理規程があり、職務分掌があり、上長がいた。それでも11億7,981万円が出ていった。ひとりで商売をしている人間には、そのどれもない。申請するのも承認するのも自分だ。上限額を決めていなければ、口座の残高がそのまま上限になる。

X銀行の口座が助かったのは、一人では振込を完了できない設定になっていたからだ。ひとり商いでこれに一番近いものを置けるのは、振込限度額しかない。

確認するのは一つでいい。使っているネットバンキングの一日あたり振込限度額に、いくらの数字が入っているか。これだけのことで詐欺の被害を抑えられる。今すぐ実践すべきだ。

--

本稿は公開情報にもとづく個人の見解であり、特定の銘柄の売買を推奨するものではない。事案の事実関係は株式会社はてなが2026年7月24日に開示した特別調査委員会の調査報告書（開示版）にもとづく。株価は2026年7月24日終値）