はてなは7月24日、約11億7981万円が流出した事案の特別調査委員会報告書を公開した。経理部長の私用携帯に「大規模な資金洗浄事件を捜査中」と電話をかけ、ビデオ通話で偽の警察手帳・検察官証を提示して信じ込ませる典型的な「サポート詐欺」型の手口だったことが判明している。技術的な脆弱性を突いた侵入ではなく、人間の心理を突いた社会工学だけで大企業の資金移動権限を乗っ取れることを示した事例だ。
1. 電話で接触・孤立化
私用携帯に「捜査協力」を装い接触。「家族にも口外禁止」で相談経路を封じる。
2. リモート操作アプリを実行
ビデオ通話で偽の警察手帳を提示し信頼させ、業務用PCにリモートデスクトップアプリを導入させる。
3. 二段階認証を突破
「凍結口座に振込めば後で戻る」と説明し、本人に認証操作を実行させてしまう。
4. 断続的に送金を継続
初回9999万円のあと、翌日の通報まで複数回にわたり計11.8億円が流出。
「9999億円」の承認上限が示す統制不全 #
報告書が指摘するのはH氏個人の落ち度だけではない。銀行口座の作成・承認権限が一人に集中し、送金の承認上限は初期設定の「9999億9999万9999円」のまま。入出金通知のオプション契約もなく、異常な資金移動を検知する仕組みが存在しなかった。部下が不審な送金を指摘した際も、上司の「把握済み」の一言で追及が止まっている。さらに報告書はH氏が入社4カ月ながら残業・休日出勤が200時間を超えていたことにも触れ、孤立した長時間労働者が標的にされやすい構造を浮かび上がらせた。
教訓
「本人確認済みだから」「上司の承認済みだから」という属人的な安心感は、権限の一極集中と承認上限の未設定という設計ミスの上に成り立っていた。技術対策以前に、送金権限の分離と上限設定は今日から見直せる。
サポート詐欺型の手口自体は目新しくないが、個人ではなく上場企業の経理を直接狙い、億単位を動かした点で異例だ。同種の権限集中は多くの中堅企業に残っている可能性が高い。
COMMENTS 0
No comments yet — be the first to leave one.