上場企業はてなから11億円が消えた事件。
原因は幹部の横領でもハッキングでもありませんでした。
警察を名乗る1本の電話です。
7月24日公表の調査報告書を元経理責任者の目で読み解くと、どの会社にもある「3つの穴」が見えてきました。
読み終える頃には、自社を守る具体策が手に入りますよ。
結論：11億円を通したのは「会社の設定」だった
結論から言うと、はてなの11億円流出は「ニセ警察詐欺」による被害でした。
2026年7月24日、はてなが公表した特別調査委員会の調査報告書（開示版）は、経理部長が千葉県警察を名乗る詐欺グループに「捜査協力」と信じ込まされ、2日間で計11億7,981万円を外部口座へ送金させられた、と認定しています（出典：株式会社はてな「特別調査委員会による調査報告書の公表及び役員報酬の一部自主返上に関するお知らせ」）。
事件当初、多くのメディアは社長や取引先になりすます「CEO詐欺（ビジネスメール詐欺）」の可能性を報じていました。
私も第一報を見たときはそう思い込んでいたんですよ。
ところが報告書が明らかにした真相は、個人を狙う特殊詐欺そのものである「ニセ警察詐欺」が、上場企業の法人口座を丸ごと飲み込んだという、前例の少ない構図でした。
ただし、この記事で一番伝えたいのはその先です。
詐欺師が破ったのは人の心。11億円を通したのは、会社の権限設定でした。
報告書を読み込むと、被害を招いた直接の原因は従業員の誤信でも、被害をここまで拡大させたのは次の3つの「設定の穴」だったことがわかります。
- 1人のアカウントで振込の「作成・申請」と「承認」が両方できた
- 承認金額の上限が初期設定（実質無制限）のままだった
- 入出金をメールで知らせるオプションを契約していなかった
つまり、心を守る教育と、金を守る設定は別物なんです。
この視点で、事件の全体像から自社への活かし方まで順番に見ていきましょう。
はてなに何が起きたのか：報告書が描く2日間
まず、報告書に基づいて事件の流れを整理します。
経理部長に警察関係者を名乗る電話
2026年4月20日の朝8時2分、経理部長H氏の私用スマートフォンに、警察関係者を名乗る電話がかかってきました。
「大規模な資金洗浄グループを捜査している」
「あなた自身にも関与の疑いがあり、逮捕・拘留になる」。
さらに「警察内部にも犯罪者がいる」「家族にも話してはいけない」「電話を切れば逮捕する」などと伝え、外部に相談できない心理状態へ追い込みました。
その後、ビデオ通話に移行します。
犯人は偽造した警察手帳や逮捕状、検察関係者の身分証などを画面に映しました。経理部長の氏名や生年月日も把握していたとされています。
会話の中で経理部長が株式会社はてなの経理責任者であることを知ると、犯人は社長やコーポレート部門責任者まで事件の容疑者であるかのように装いました。
これにより、社内の上司へ相談する道も心理的に封じられます。
心理的に孤立させたうえで、「今後の指示はすべて捜査協力だ」と信じ込ませたわけです。
リモートデスクトップを会社PCにダウンロード
その後の展開は速かった。
午前10時39分、経理部長は指示されるままリモートデスクトップ（PCを遠隔操作するアプリ）を会社PCにダウンロードし、10時42分には詐欺グループが遠隔操作を開始します。
会社側には未承認ソフトの実行を技術的に禁止する仕組みがなく、インストールの記録は残ったものの、リアルタイムでは検知されませんでした。
二段階認証が必要な場面では、経理部長本人に操作させました。
11時41分、最初の9,999万円が送金されました。
オンラインバンキングのIDとパスワードがEXCELに
ここで注目したいのが、経理部長がデスクトップに保存していたExcelファイルです。
オンラインバンキングのIDとパスワードが、暗号化もされず記載されていました。
詐欺グループはこのファイルを見て、はてなの口座情報を効率よく把握したと報告書は推定しています。
取締役に虚偽の申請
口座残高が尽きると、詐欺グループは経理部長に、メインバンクのX銀行からY銀行へ資金を移すよう指示しました。
上司の田中取締役に「給与出金の準備」という虚偽の理由で3億円の移動を申請し、承認を取得。
しかし2回目以降、計6.4億円分の資金移動では上司への承認依頼を省略しています。
夜9時過ぎまで送金は続き、翌21日も再開されました。
見逃しの場面も、報告書は克明に記録しています。
経理メンバーが異常に気づくも
20日の昼過ぎ、口座残高の異変に気づいた経理メンバーがチャットで「残高が少額になっている。運用が変わったのか」と質問しました。
経理部長は「状況は把握済みなので後ほど説明します」と回答を回避。
メンバーは「部長のことだから理由があるのだろう」と考え、それ以上追及しませんでした。
深夜に及ぶ異常な頻度の資金移動を見ても、「金額が大きいから当然上司も知っているはず」という思い込みが働いた、と報告書は分析しています。
異常を異常と言い出せない空気、いわゆる正常性バイアスが、関所の最後の1枚を外してしまったわけです。
夜になると、銀行によって口座の利用が一部制限されます。
しかし経理部長は犯人の指示に従い、自ら銀行へ電話して制限の解除を求めました。解除後も1,000万円単位や9,999万円の送金が繰り返されています。
銀行窓口との通話で冷静さを取り戻し、詐欺発覚
詐欺が発覚したのは21日午前11時。
経理部長は銀行とのやり取りの中で次第に冷静さを取り戻し、家族の携帯から110番したことで、ようやく止まりました。
確定した不正送金の総額は11億7,981万円。
経理部長個人の口座でも被害が発生しており、報告書は加害者ではなく被害者として経理部長を描いています。
一連の流れを読んで、あなたはどう感じたでしょうか。
「自分なら騙されない」と言い切れる人は、実は少ないはずです。
なぜ1人で11億円を送金できたのか：元経理責任者が見た3つの穴
私は以前、経理責任者を務めていました。
その経験から言うと、この事件で背筋が冷えるのは詐欺の手口よりも、送金を止める関所がことごとく開いていた点です。
報告書の指摘を、実務者の目線で3つに絞って解説します。
規程と設定の乖離
1つ目の穴は、職務分掌が「画面上」では存在しなかったことです。
はてなの経理規程では、振込データの作成者と承認者を分ける職務分掌が定められ、日常業務でも守られていました。
通常の支払い業務でも、送金データの作成、確認、承認を複数人で実施する運用が存在しています。
ところがY銀行のオンラインバンキング上の設定では、経理部長のアカウント1つで作成・申請から承認まで完結できる権限設定になっていたんです。
規程と設定の乖離ですね。
実際、同じ設定ができない仕様だったX銀行からは、1円も直接流出していません。
この対比が、設定の重みをすべて物語っています。
私が現役の頃、月次で必ずやっていたのが銀行システムの権限一覧の打ち出しと突合でした。
地味な作業ですが、人事異動のたびに権限は必ずズレます。
はてなでは経理部長が短期間に2度交代し、前任者の退職時に権限の棚卸が行われず、承認権限が「追加」されたまま誰も気づかなかった。
規程を作った安心感が、いちばん危ないんですよ。
承認上限金額が初期設定
2つ目の穴は、承認上限金額が初期設定のままだったことです。
H氏のアカウントの承認上限は999,999,999,999円、つまり約1兆円という初期値のまま。
上限が月の資金需要に合わせて設定されていれば、被害は数千万円で止まった可能性があります。
報告書も「この設定さえできていれば被害を防げた」と踏み込んで書いています。
異常を知らせる仕組みへの投資をケチった
3つ目の穴は、異常を知らせる仕組みへの投資をケチったことです。
入出金や残高低下をメールで通知する銀行の有料オプションを、はてなは契約していませんでした。
月数千円程度のサービスです。実は事件当日の夕方、銀行側から「9,999万円の入金が3回ある」と上司に照会の電話が入っていました。
それでも「給与用の資金移動だろう」と思い込み、口座を直接確認しなかった。
通知の仕組みがあれば、深夜まで続いた送金のどこかで気づけたはずです。
設定不在説
3つに共通するのは、性善説でも性悪説でもなく「設定不在説」とでも呼ぶべき状態です。
人を疑う必要はありません。
ただ、1人が乗っ取られても金が動かない設定にしておく。それだけの話なんです。
そして、なぜ穴が放置されたのかという背景まで報告書は掘り下げています。
ここが個人的にいちばん刺さった部分でした。
経理が属人化→引き継ぎがないまま退職
はてなの経理は長年、ベテラン2名に業務が集中する属人化状態にあり、マニュアルも整備されていませんでした。
その2名が2024年の本決算直前に十分な引継ぎのないまま退職。
後任の責任者も半年ほどで退職し、入社4ヶ月目だったH氏が経理部長に昇進します。
H氏は残業が月100時間を超える業務過多で体調を崩して休職し、復職した2ヶ月後にこの事件に遭遇しました。
復職にあたって、資金管理の権限を全面的に戻すことの統制上のリスクは、経営会議でも取締役会でも検討されなかったと報告書は指摘しています。
この構図には既視感しかありません。
経理をベテラン1〜2人に任せきりにし、マニュアルがなく、辞められた瞬間に業務がブラックボックス化する。
どこの会社でも起きている話です。
属人化は不正や横領のリスクとして語られがちですが、はてなの事件が示したのは、外部からの詐欺に対しても組織の免疫を下げるという新しい教訓でした。
混乱の渦中にある部署ほど、権限設定の棚卸のような基本動作が後回しになるからです。
ニセ警察詐欺は「会社の金」も狙い始めた
「うちは中小企業だから関係ない」と思った方にこそ、データを見てほしいところです。
警察庁の統計によると、2025年の特殊詐欺の被害額は1,423億1,000万円と前年から約2倍に膨らみ、過去最悪を更新しました。
中でも警察官をかたる「ニセ警察詐欺」は認知件数1万1,014件と前年比で倍増し、被害額は約1,005億円。特殊詐欺全体の7割を占めるまでになっています（出典：警察庁、2025年特殊詐欺関連統計・確定値）。
私の元にもかかってきていますね。
私の個人情報は把握しており、ニセ警察詐欺の存在を知っていなかったら引っかかってしまっていた可能性もあります。
詳しくはこちらの記事をご覧ください。
ニセ警察詐欺は若者も引っかかる
見落とされがちなのが被害者の年齢層です。
ニセ警察詐欺の被害者は30代が最多で、次いで20代。
高齢者を狙う詐欺というイメージは、もう古いんですよ。
現役世代が狙われるということは、会社の口座に触れる人が狙われるということです。
はてなの事件は、個人向け詐欺の手口が法人資金に到達した象徴的な事例だと私は見ています。
手口の核心は「公権力には逆らえない」という心理です。
上司のなりすましなら「本人に確認しよう」と思えても、警察から「捜査情報だから口外禁止」と言われると、確認行動そのものが封じられます。
はてなの報告書も、H氏が社内の誰にも相談できないまま孤立していった過程を詳細に記録しています。
ニセ警察詐欺への対策
個人としての備えにも触れておきましょう。
ニセ警察詐欺の多くは国際電話番号からの着信で始まるため、政府広報も国際電話の利用休止やアプリでの着信ブロックを呼びかけています。
固定電話なら無料で国際電話を止められる手続きがありますし、スマートフォンでも「+」から始まる番号をブロックする設定は数分で終わります。
海外との通話が不要な人は、今日設定してしまうのが手っ取り早いですよ。
ここで覚えておきたい原則は1つだけ。
本物の警察は、電話やラインで送金を指示しません。
捜査協力の名目で口座操作を求められた時点で、100%詐欺です。
また、自動通話録音機能や、着信前に警告メッセージを流す機能を備えた防犯機能付き電話の導入を検討しましょう。
これにより、詐欺の犯人を撃退する効果が期待できます。
ポチップ
自社を守る「送金の三権分立」チェックリスト
では、明日から何をすればいいのか。
報告書の再発防止策と私の実務経験を掛け合わせて、「送金の三権分立」という形に整理しました。
作成・承認・検知の3つの力を、決して1人に集めないという考え方です。
| 分立させる力 | チェック項目 | はてなの事件では |
|---|---|---|
| 作成する力 | 振込データの作成者と承認者は、システム上も別アカウントか | 規程上は分離、設定上は1人で完結 |
| 承認する力 | 承認上限額は資金需要に応じて設定されているか | 初期設定の約1兆円のまま |
| 検知する力 | 入出金・残高の自動通知は届く設定か | 有料オプション未契約 |
このチェックは、経理担当者ではなく経営者や管理部門長がやってください。
担当者に「設定は大丈夫か」と聞くのではなく、権限一覧を自分の目で見る。所要時間は30分もかかりません。
あわせて、人の側の備えも1行で共有しておきましょう。
「警察・検察を名乗る電話で金銭やPCの操作を求められたら、いったん切って代表番号にかけ直し、上司か総務に即報告する」。
この行動ルールを朝礼で1回読み上げるだけでも、孤立を防ぐ効果があります。
はてなの報告書も、抽象的な注意喚起ではなく「迷ったときの報告先」を具体的に定める研修を提言しています。
「教育はやっているから大丈夫」という反論もありそうなので、はてなのデータを1つ紹介させてください。
同社は年1回セキュリティ理解度テストを実施しており、直近の平均点は94点を超えていました。
それでも事件は起きたわけです。テストで測れるのは知識であって、恐怖で追い詰められた状態での行動ではありません。
だからこそ、人の判断が飛んでも金が動かない設定側の防波堤が要るんですよ。
なお、リモートデスクトップなど遠隔操作アプリを業務PCで制限する設定も有効ですが、こちらは情報システム部門との調整が必要です。
まずは銀行設定の3項目から着手するのが現実的だと思います。
投資家目線：はてな株を評価する3つの論点
最後に、個人投資家として見た場合の論点も整理しておきます。
この手の「不祥事後の株価」を何度も見てきましたが、感情で売買する前に確認すべき点は3つです。
損失の確定状況
1つ目は損失の確定状況です。
はてなは流出額11億7,900万円の全額をすでに特別損失として計上し、2026年7月期の最終損益は7億6,700万円の赤字へと下方修正されました。
悪材料を先に全部出す会計処理で、回収できた分は後から特別利益として戻す構えです。
つまり現在の数字は最悪ケースを織り込んだものと読めます。
資金繰り
2つ目は資金繰りです。事件前の手元現預金は約17億7,900万円でしたから、流出額はその7割弱に相当します。
会社側は「事業運営や資金繰りに支障はない」と説明していますが、キャッシュの厚みが薄くなったのは事実です。
今後の四半期開示では、営業キャッシュフローと手元流動性の推移を必ず追いかけたいところですね。
ガバナンスの立て直し
3つ目はガバナンスの立て直しです。社長と担当取締役は月額報酬の20%を6ヶ月間自主返上し、担当取締役は次回株主総会での退任意向を示しました。
報告書は経理部長の相次ぐ交代や休職、監査体制の形骸化といった構造問題まで踏み込んでおり、再発防止策の実行度が今後の評価軸になります。
なお、回収額がいくらになるかは現時点で不透明で、株価の先行きを保証するものは何もありません。
本件を材料とした売買判断はご自身の責任で、リスク許容度の範囲内で行ってください。
不祥事銘柄への投資は、財務が読める人にとってもかなり難易度が高い領域です。
よくある質問
- はてなの11億円流出はなぜ起きたのか
-
経理部長が警察関係者を名乗る詐欺グループに「捜査協力」と信じ込まされ、遠隔操作と本人の操作により送金が実行されたためです。
1人で振込を完結できる権限設定や上限金額の未設定が、被害を11億7,981万円まで拡大させました。
- はてなの流出したお金は戻ってくるのですか？
-
会社は全額を特別損失として計上済みで、金融機関と連携して回収措置を進めています。
回収額が確定した分は特別利益として計上する方針ですが、現時点で回収の見通しや金額は公表されていません。
一般的にこの手の詐欺事件でお金が返ってくる事例は少ないです。
- ニセ警察詐欺から会社を守るにはどうすればいいですか？
-
振込データの作成と承認をシステム上も別アカウントに分け、承認上限額を資金需要に合わせて設定し、入出金の自動通知を有効にすることが基本です。
あわせて「警察を名乗る電話は切って代表番号にかけ直す」という行動ルールを社内で共有してください。
まとめ：今日やることは、たった1つ
はてな11億円事件では、経理部長が巧妙な特殊詐欺によって心理的に孤立させられました。
しかし、11億7,981万円という被害額まで拡大した背景には、複数の構造的な問題があります。
社内規程とオンラインバンキングの設定が一致していなかったこと。
一人で作成から承認まで行えたこと。
送金限度額や異常通知が適切に設定されていなかったこと。
社内口座間の資金移動に、明確な承認ルールがなかったこと。
異変を感じた社員が処理を停止できなかったこと。
これらが連鎖し、一人の誤認が会社全体の損失へ変わりました。
犯人の手口を知るだけでは、次の詐欺は防げません。
次の犯人は警察ではなく、社長、取引先、金融機関、税務署、監査法人を名乗るかもしれないからです。
元経理責任者として、私が経営者や経理担当者に最初に実行してほしいことは一つです。
法人オンラインバンキングの権限一覧を出力してください。
そして、作成と承認を兼務できる人、送金上限が設定されていない人、管理者と送金者を兼ねる人、異常通知が届かない役員、異動後も権限が残る人に印を付けます。
分厚い規程を作る必要はありません。まず権限一覧を一枚確認するところから始められます。
経理の内部統制は、社員を疑うためのものではありません。
善良な社員がだまされたとき、本人と会社を同時に守るための仕組みです。
11億円の授業料を払ったのは、はてなです。
私たちは無料で学ばせてもらいましょう。
にほんブログ村
