はてなの事件は、どの規模の会社でも起こり得るリスクだ（写真提供：ゲッティイメージズ）

　「あの技術力に定評のある『はてな』が、なぜ――」 　4月24日、東証グロース上場のはてなが発表したニュースは、IT業界のみならず日本の経営層に激震を走らせた。悪意ある第三者からの「虚偽の送金指示」に従い、最大約11億円という巨額の資金を外部口座へ送金してしまったというのだ。 【写真を見る】リスクが表面化したとき、企業の対応力を支えること 　事案が発生したのは4月20日と21日のわずか2日間。発表直後、筆者が参加したある経営者たちの会食でもこの話題が挙がった。「正直な話、どの会社でも起きると思った」――その場にいた一人が漏らした言葉に、皆が頷いていた。 　ブログや開発者向けサービスで知られる「はてな」は、長年日本のネット文化を技術で支えてきた企業だ。その同社が、古くからある「ビジネスメール詐欺」（BEC）に起因するとみられる資金流出の被害を受けた。株式市場の反応は冷淡だった。ストップ安という結果は、投資家がこの事案を「経営の根幹を揺るがす問題」と受け止めたことを如実に示している。 　その会食の席で意識の高い経営者は「翌日すぐ顧問先に送金フローを見直すよう連絡した」と話していた。 　つまり、これは「あの会社が特別に脇が甘かった話」ではない。どの業種の、どの規模の会社でも起こり得るリスクだ。

「技術に強い」会社が陥った盲点

　今回の事案で、注目したいのは被害の構造だ。 　適時開示には「当社の従業員のアカウントより、当社の銀行預金口座から外部の口座への送金が実行された」とある。つまり、外部からシステムに不正侵入されたわけではない。悪意ある第三者から虚偽の送金指示を受けた従業員が、自らの手で送金操作を実行したのだ。 　IT企業は、Webサービスの脆弱（ぜいじゃく）性やサーバへの不正アクセスに対して、非常に高い水準のセキュリティを構築している。多要素認証も、チーム全体で暗黙知を共有する「コードレビュー」も当たり前だ。ところが「お金を動かすプロセス」については、驚くほどアナログで、属人的な運用が残っている場合も多い。 　エンジニアリングには「バグを許さない」文化がある。しかしバックオフィスのワークフローには、その厳しさが及んでいない場合がある。デジタルサービスを事業の核とする企業が、内部統制においては意外なほど古典的な弱点を抱えているのだ。そのギャップが、今回の被害を生んだと考える。