11億円が2日で消えた ― 属人化した経理部で何が起きたのか

二段階認証を入れていれば、不正送金は防げるはずだ。そう信じている人は多いだろう。

ところが、2026年7月24日に株式会社はてなが公表した特別調査委員会の報告書を読むと、その確信は裏切られる。2026年4月20日から21日にかけて、最大およそ11億円が社外に流出した特殊詐欺事案である。

この事件で、システムの脆弱性は突破されていない。狙われたのは技術ではなく、人間の判断だった。そして報告書が根本原因として指摘したのは、担当者の軽率さではなく、多くの中小企業にも共通する「経理部の属人化」である。なぜ、11億円もの資金が流出するまで誰も止められなかったのか。報告書が明かす経緯を追うと、平時には見えない組織の脆弱性が浮かび上がってくる。

警察を名乗る電話から始まった

発端は、警察関係者を名乗る詐欺グループからの接触だった。

経理部長のH氏に対し、偽の捜査資料やH氏名義の偽のキャッシュカード、さらには偽の逮捕状の写真までが通信アプリで送られてきた。自分が捜査対象になっていると思わせる、極めて巧妙な作りである。しかも当日の朝、詐欺グループの指示によってH氏は同居する家族を外出させている。相談できる相手を物理的に遠ざけられていた。冷静な判断を奪うための周到な手口である。

4月20日の10時39分、H氏は「どういうアプリケーションか分からないまま」指示される通りにリモートデスクトップを実行する。これは外部から自分のパソコンを遠隔操作できるようにする仕組みである。わずか3分後の10時42分には、詐欺グループがH氏のパソコンを直接操作できる状態になった。

そして11時41分、Y銀行のメイン口座から9,999万円が送金される。続いて11時59分に1億円。午後にも7,439万円、233万円、313万円と送金が繰り返され、Y銀行の各口座は残高が数千円になるまで引き出された。

なぜ二段階認証で止まらなかったのか

では、銀行の振込に必須である二段階認証はどうなっていたのだろうか。

突破されたわけではない。H氏本人が操作して通している。

詐欺グループはパソコンを遠隔操作して振込画面まで進めたが、二段階認証だけは別室に呼び出したH氏に作業させていた。このとき、H氏は「これを実行したら資金が流出するのでは」という疑問を抱いている。報告書にもそう記録されている。気づいていなかったわけではない。

しかし、詐欺グループから「これは凍結口座への振込であって捜査の一環だから、振込には該当しない。後で資金は戻る」と説明され、それを信じてしまった。技術で突破されたのではなく、説明で納得させられている。二段階認証というシステムを入れていれば安心、という前提がここで崩れる。

さらに不可解なのは、Y銀行の残高が尽きた後の動きである。詐欺グループの指示を受けたH氏は、X銀行から3億円をY銀行へ資金移動させる。このとき、社内の通常フローは正しく回っていた。チャットで上長に「給与出金の準備にあたり、3億円移動したいのですが」と申請し、承認を得て、担当者に依頼し、確認者が確認したうえで実行されている。

異変に気づいた人はいた。確認担当のD氏が「サブ口座の残高が少額になっていて、支払分が足りない。何か運用が変わりますか」とチャットで声を上げている。

ところが、H氏が「その件は状況を把握済みです」と返すと、手続きはそのまま進んでしまった。上長が把握済みと言えば、それ以上は追及しにくい。止める機会は、ここで失われた。

属人化が招いたブラックボックス

なぜ、このような事態が起きたのか。

報告書が第一の原因として挙げているのは「経理体制が脆弱であったこと」、すなわち属人化である。

経理規程そのものは整備されていた。しかし、それを具体化する業務マニュアルや手順書、判断基準が明文化されていなかった。日常業務の進め方も、会計システムやオンラインバンキングの管理も、例外処理の対応も、特定の担当者の知見と経験に依拠して運用されていた。結果として、他の役職員からは把握が困難なブラックボックスになっていた。

背景には、異常な事態の連続がある。長年経理実務を担ってきたベテランが2024年7月期末に突然退職し、属人化していた知見が後任に十分に引き継がれなかった。その後任も半年足らずで退職の意向を示した。そこへ入社4ヶ月目のH氏が経理部長に昇進し、本決算を回したところで業務過多により休職している。引き継ぎのないまま、日常業務に追われながら、ブラックボックス化した仕組みの上で回していた状態である。H氏個人の資質の問題として片付けるのは誤りだろう。

この状況が、致命的な設定の放置を生んだ。

H氏のアカウントの承認上限金額は、初期設定のままだった。金額にして9,999億9,999万9,999円である。事実上の無制限と言っていい。

誰も悪意を持って放置したわけではない。上長は「オンラインバンキングのアカウント管理は経理部長の担当だ」と考えていたため、モニタリングしていなかった。一方でH氏は「自分は副責任者で、責任者は上長だ」と認識していたため、自分の上限を設定するという発想がなかった。お互いに、相手が管理していると思い込んでいた。

責任の所在が曖昧なまま、誰も見ていない設定が残り続けた。権限設定が定期的に確認されることもなく、入出金や残高が一定額を割ったときのメール通知も設定されていなかった。棚卸しの機会がないため、誰も気づけなかったのである。

経営責任と再発防止の徹底

事態を受けて、会社側は経営責任を明確にしている。

代表取締役社長と取締役コーポレート本部長が、月額報酬の20%を6ヶ月間自主返上する。加えて、コーポレート本部長は次回の株主総会での任期満了をもって退任する意向を示した。

再発防止策も迅速である。報告書を待たずに、事案の発生直後から出金手続きの決裁権限の見直しと厳格化、出金実行環境のセキュリティ強化を実施済みであると公表した。

調査自体も、日本弁護士連合会の「企業等不祥事における第三者委員会ガイドライン」に準拠して行われている。社内チャットのやり取りまで含めて時系列で開示された詳細な報告書は、外部の企業にとっても貴重な教訓となる。公開に踏み切ったこと自体が、社会に対する誠実な姿勢の表れである。

まとめ ― 属人化は平時には問題として見えない

報告書は、属人化の恐ろしさを次のように記している。「担当者が継続して業務を遂行している限り、属人的な運用に起因する問題が直ちに顕在化することはなく、結果として改善が図られることはなかった」。

業務が回っているうちは、誰も困らない。困るのは、その人がいなくなったときと、その人が判断を誤ったときだけである。異変に気づいた人はいた。ただ、その声が届く仕組みがなかった。

この事件を対岸の火事としないために、明日自社で確認すべきことは以下の3点である。

• オンラインバンキングの承認上限額を全アカウント分確認する
• 設定の管理者を「役割」ではなく「名前」で答えられるようにする
• 規程ではなく、具体的な業務の「手順書」を作る