はてな11.8億円特殊詐欺事件の全貌｜調査報告書が明かした「一人で送金できる会社」の恐怖

まず前提として、この事件は特殊なケースではありません。警察庁の統計によると、2025年の特殊詐欺被害額は全国で約1,423億円と前年からほぼ倍増し、過去最悪を記録しました。認知件数は2万7,832件で前年比32.3%増です。

なかでも急増しているのが、警察官をかたる「ニセ警察詐欺」です。オレオレ詐欺の認知件数のうち74.2%（10,696件）が警察官をかたる手口で、「あなたはマネーロンダリング事件の捜査対象になっている」「捜査に協力すれば逮捕を免れる」と脅して、被害者自身に送金させるやり口が定着しています。

「高齢者が個人の預金をだまし取られる犯罪」というイメージはもう古く、企業の資金にアクセスできる担当者を狙えば、一度に億単位を奪えます。はてなの事件は、この手口が上場企業の経理部長に直撃した事例です。

出典: 警察庁 SOS47 特殊詐欺対策ページ「発生状況」 / nippon.com「2025年の特殊詐欺：全国で被害1400億円」

調査報告書によると、事件は2026年4月20日午前8時ごろ、経理部長H氏の私用携帯にかかってきた「千葉県警」を名乗る電話から始まりました。

詐欺グループはH氏に対し、「大規模なマネーロンダリング事件を捜査している」「あなたやはてなの社長も捜査対象になっている」「逮捕・長期拘留される可能性がある」「家族や会社には話してはいけない」と告げ、偽の逮捕状や捜査資料まで送りつけて、H氏を心理的に孤立させました。

「捜査協力」だと信じ込んだH氏は、指示されるまま会社PCにリモートデスクトップソフトをインストールします。これで詐欺グループは会社PCを遠隔操作し、オンラインバンキングにアクセスできるようになりました。さらにH氏は、スマートフォンに表示される二段階認証を自ら操作しました。最初に9,999万円、続いて1億円と、億単位の送金が次々に実行されていきます。

翌4月21日午前、銀行が不審な出金を検知して停止。H氏も銀行とのやり取りで不審に思い、家族の電話から110番通報して、ようやく詐欺だと判明しました。外部への不正送金の総額は11億7,981万円。はてなが4月24日に公表した第一報は、ネット業界に大きな衝撃を与えました。

出典: はてな 適時開示「特別調査委員会による調査報告書の公表及び役員報酬の一部自主返上に関するお知らせ」(2026年7月24日) / ITmedia NEWS「はてな、11億円の資金流出 振り込め詐欺か」(2026年4月24日)

注目すべきは、被害が「最初の口座残高」で止まらなかった点です。詐欺グループは、支払いに使っていたY銀行の残高を使い切ると、H氏に対して「資金の多いX銀行からY銀行へ会社資金を移せ」と指示しました。

H氏は最初の3億円について、上司に「給与支払いの準備」だと虚偽の説明をして承認を得ます。その後の6億4,000万円は上司の明示的な承認すら取らず、部下に資金移動のデータを作らせました。合計9億4,000万円がX銀行からY銀行へ移され、その大部分がさらに外部口座へ送金されました（この9億4,000万円は社内口座間の移動なので、被害額11億7,981万円に別途加算されるものではありません）。

つまり詐欺グループは、遠隔操作で「見えている残高」を抜くだけでなく、H氏を実行役にして会社の資金プールそのものを引き寄せたのです。だまされた本人が社内の承認プロセスを能動的に突破していく——これがニセ警察詐欺の最も恐ろしい点です。

なお調査委員会は、H氏に横領や私的流用の意図はなく、「送金は成立しない、成立しても後で戻る」と信じ込まされていたと認定しています。悪意の内部犯行ではなく、あくまで特殊詐欺の被害者が実行役にされた事件です。

調査報告書は、H氏個人について次のような問題を指摘しています。

• 警察を名乗る相手の話を、社内にも警察の公式窓口にも確認しなかった
• 未承認のリモート操作ソフトを会社PCにインストールした
• 銀行のID・パスワードを、暗号化せずPC内のファイルに保存していた（社内ルールではパスワードマネージャーの使用が定められていた）
• 資金移動の理由について上司に虚偽の説明をした
• 追加の資金移動で上司の承認を省略した
• 部下から残高の急減を指摘されても、十分な説明をしなかった
• 二段階認証画面に表示された振込先・金額を確認しなかった

並べると「なぜそこまで」と思うかもしれません。しかし、逮捕をちらつかせて孤立させ、「誰にも話すな」と縛る手口は、冷静な判断力を奪うために設計されています。H氏は入社4か月ほどで経理部長に就き、決算業務の過重負担で一度休職した後に復職したばかりでした。疲弊した担当者ほど、この種の心理操作に弱くなります。

報告書が最も厳しく批判したのは、H氏個人ではなく会社側の仕組みです。ポイントは大きく分けて次の通りです。

委員会は、単独承認を禁止していれば事件自体を防げ、上限額を設けていれば被害拡大を抑えられたと結論づけています。会社全体が「優秀な社員なら当然正しく行動する」という自主性とリテラシーへの依存で回っていた、という指摘は痛烈です。

性善説の運用は、平時にはコストが低く快適です。しかし特殊詐欺は、まさにその「善意の優秀な社員」を乗っ取る攻撃です。人を信頼することと、システムで歯止めをかけることは矛盾しません。

報告書の批判は経営層にも及びます。事件前のはてなの経理部では、ベテラン社員の突然の退職、経理部長の短期間での交代、H氏や他の社員の休職が相次いでいました。異常のシグナルは十分に出ていたのです。

それにもかかわらず、取締役会や経営会議は人事問題としては議論したものの、「オンラインバンキングの権限は適切か」「業務が属人化していないか」「経理規程が実際に守られているか」といった内部統制上のリスクを確認しませんでした。

監査役会に至っては、経理部の異常な人員交代や休職の報告を受けていながらリスクに応じた監査を実施しなかったとして、「職務意識の高さ及びリスク感度の高さは感じられなかった」という趣旨の、監査機関に対するものとしては相当に厳しい評価を受けています。

経営責任の明確化として、代表取締役社長と取締役コーポレート本部長が月額報酬の20%を6か月自主返上し、同本部長は次回株主総会で任期満了により退任予定と開示されました。

出典: はてな 適時開示「特別調査委員会による調査報告書の公表及び役員報酬の一部自主返上に関するお知らせ」(2026年7月24日)

「上場企業の話でしょう」と思ったら、それは逆です。中小企業では「経理は一人に任せきり」「社長と経理担当しか口座を触れない」という体制がむしろ普通で、はてなで問題視された単独完結・上限なし・通知なし・ルールなしの状態が、デフォルトで揃っている会社が少なくありません。

報告書の再発防止策をもとに、自社で実行する手順に落とし込みました。上から順に進めれば、1〜2週間でひと通りの防御が完成します。

手順その1：法人インターネットバンキングの設定を今日見直す

最優先はここです。委員会が「これがあれば事件自体を防げた」と結論づけた対策で、しかも費用ゼロ・銀行の管理画面の設定変更だけで済みます。

1. 法人インターネットバンキングに管理者権限でログインし、「利用者管理」「権限設定」の画面を開く（名称は銀行により異なります）
2. 振込データの「作成権限」と「承認権限」を別の人に割り当てる。承認者は社長や別の役職者にし、一人のIDで作成から承認まで完結できない状態にする
3. 1回あたり・1日あたりの振込限度額を、月の支払い実態に合わせて設定する。目安は「通常月の最大支払額+α」。賞与や納税などの大口は、その都度一時的に引き上げれば足ります
4. 入出金・残高のメール通知サービスを申し込み、経理担当者と経営者の2人以上が受信する設定にする
5. 設定変更後、テストとして少額振込を実行し、「作成者だけでは送金できない」「通知メールが届く」ことを確認する

従業員が自分一人しかいない会社でも、限度額と入出金通知の2つは設定できます。承認の分離ができない場合は、限度額をより厳しく絞るのが現実解です。

手順その2：資金移動のルールを1枚の文書にする

はてなでは、口座間の資金移動が「担当者が自主的にチャットで上司に一言入れる」運用でした。これを正式なルールに置き換えます。A4で1枚あれば十分です。

1. 「◯◯万円以上の振込・口座間移動は、事前に□□（役職名）の承認を必要とする」と金額基準と承認者を明記する
2. 承認の記録が残る手段（ワークフローシステム、稟議書、承認ボタンのあるツール）を決める。「口頭やチャットのメンションは承認と見なさない」と書く
3. 例外時の報告ルールを決める。「銀行や警察から連絡があった場合は、内容を問わず即時に□□へ報告する」の一文を入れる
4. 作成したルールを経理担当者・役員全員に配布し、次の資金移動から適用する

手順その3：ID・パスワードとPCの管理を固める

1. 銀行のID・パスワードがExcel・メモ帳・付箋に書かれていないか点検し、見つけたらすべて廃棄する
2. 1Password・Bitwarden などのパスワードマネージャーを会社として契約し、経理関係の認証情報はその中だけで管理する
3. 会社PCで従業員が自由にソフトをインストールできない設定（管理者権限の分離）にする。特に AnyDesk・TeamViewer・Chrome リモートデスクトップなどの遠隔操作ソフトは、IT担当か外部のIT顧問に依頼してブロックする
4. 経理端末は可能なら専用機にし、私用のメール・SNSを使わない運用にする

手順その4：「ニセ警察」への対応手順を全員に配る

設備より重要なのが、電話を受けた瞬間の行動を事前に決めておくことです。次の手順をそのまま社内に配布してください。

1. 警察・検察・銀行協会を名乗る電話が来たら、相手の所属・氏名・電話番号を聞いていったん電話を切る。本物の警察は、切られても捜査に支障はありません
2. かけ直すときは、相手が言った番号ではなく、自分で調べた警察署の代表番号か、警察相談専用電話「#9110」にかける
3. 「誰にも話すな」「家族や会社には秘密に」と言われたら、その瞬間に詐欺と断定してよい。本物の捜査でこの指示は出ません
4. 「捜査のためにお金を動かせ」「ソフトをインストールしろ」「二段階認証の画面を操作しろ」も同様に、すべて詐欺です
5. 電話の内容がどうであれ、必ず社内の決めた報告先（社長・上司）に共有する。報告した人を責めない、と会社側が先に宣言しておく

この訓練は年1回、朝礼やミーティングで5分読み合わせるだけでも効果があります。偽の逮捕状の画像を見せておくと、実物が送られてきたときに冷静になれます。

手順その5：それでも送金してしまったときの初動

万一の場合は、スピードがすべてです。犯人グループは着金後すぐに資金を別口座へ分散させるため、1時間の差が回収額を左右します。

1. 直ちに振込先の銀行と自社の銀行の両方に電話し、口座の凍結（組戻し・支払停止）を依頼する。振り込め詐欺救済法により、犯罪利用口座は凍結でき、残っていた資金の分配を受けられる可能性があります
2. 並行して110番通報し、警察に被害を届け出る。銀行への凍結依頼には警察への届出が求められる場合があります
3. 遠隔操作ソフトを入れてしまったPCは、ネットワークから切断する（シャットダウンより先にLANケーブルを抜く・Wi-Fiを切る）
4. 銀行のパスワード・二段階認証をすべて変更し、不正送金の証拠（画面、メール、通話記録）を保全する
5. 顧問弁護士・税理士、加入していればサイバー保険の窓口に連絡する

出典: 警察庁 SOS47「警察に偽装した電話番号に注意！」 / 金融庁「振り込め詐欺等の被害にあわれた方へ」（振り込め詐欺救済法）

再発防止策に挙がった「ワークフローシステムの導入」「未承認ソフトのブロック」「端末の監視」といった対策は、中小企業なら補助金でコストを抑えて導入できます。

代表的なのがデジタル化・AI導入補助金（旧IT導入補助金）のセキュリティ対策推進枠です。IPAの「サイバーセキュリティお助け隊サービスリスト」に掲載されたサービスの利用料（最大2年分）が補助対象で、補助上限は150万円。ネットワーク監視・端末監視・保険がワンパッケージになったサービスを、セキュリティ専任者のいない会社でも導入しやすいのが特徴です。

また、通常枠では会計ソフトやワークフローシステムなどの業務改善ツールも対象になります。「経理の承認フローを紙とチャットからシステムに移す」という今回の教訓そのものの投資が、補助対象になり得ます。

出典: デジタル化・AI導入補助金2026「セキュリティ対策推進枠」