はてな不正送金11.8億円 — 警察官なりすまし詐欺がMFAと社内承認を突破した手口

はてなが2026年4月に公表した不正送金事件の全容が、特別調査委員会の報告書で明らかになった。手口はゼロデイでもマルウェアでもなく、電話一本から始まる古典的な「なりすまし詐欺」だ。それでも経理部長のPCを乗っ取り、二段階認証まで本人に突破させて11億円超を流出させている。攻撃者が突いたのは技術的な穴ではなく、人間の判断と社内承認フローの穴だった。

「捜査協力」という名の心理的孤立 #

千葉県警を名乗る詐欺グループは、経理部長の私用携帯に「資金洗浄事件の捜査協力」を口実に接触した。本人にも嫌疑があるかのように装い、家族や同僚への口外を禁じて心理的に孤立させる。追い詰められた経理部長は、業務規定で禁止されているリモートデスクトップアプリを自らインストールし、PCの操作を詐欺グループに明け渡した。

二段階認証は「本人操作」の前提を超えられなかった #

このケースが示すのは、MFAは操作主体が善意であることを前提にした対策だという事実だ。攻撃者は認証情報を盗む必要すらなく、正規ユーザーにその場でコードを入力させれば突破できる。「凍結口座への振込で後で資金が戻る」という説明を信じ込まされた経理部長は、二段階認証を含む一連の操作を自らの手で完遂してしまった。

見過ごされた社内アラート #

被害を拡大させたのはもう一つの穴だ。異常な資金移動に気づいた経理部員が指摘したにもかかわらず、経理部長本人から「状況把握済み」と言われて追及をやめている。上長の説明を鵜呑みにする組織文化と、承認者が入出金明細を直接確認しない運用が、詐欺グループに追加の送金時間を与えた。技術対策だけでなく、「誰かが変だと言った時に止める」仕組みこそが最後の防波堤になる。