TL;DR
- 01何が起きたか
東証グロース上場の ZUU は 2026 年 3 月 19 日、社内のビジネスチャットで役員を装った第三者の送金指示を受け、同じ日に 9,600 万円を外部の口座へ振り込んだ。同社は、振込は社内の従来のルールとプロセスに則って行われたと開示している。組戻しを頼み、被害届も出したが、回収は極めて困難とした。
- 02なぜ通ったか
のちの特別調査は、規程の理解不足と運用の不徹底を原因に挙げた。同社自身も、チャットのツールと振込の手続きのつなぎ目で、指示の真正性の確認が不十分だったとしている。ルールがあっても、指示が本当にその役員から出たかを照合する手順が無ければ、装われた指示は通る。
- 03欠けていた層
ZUU は振込の後まもなく指示を疑い、第三者の不正とみて動いた。それでも振込は通った。効かなかったのは、送金の指示が本当にその役員から出たかを、振込の前に照合する層である。
何が起きたか
- 当事者
- ZUU。金融の情報メディアと、資金調達の支援などの金融の事業を営む。東証グロース上場。
- 起きたこと
- 3 月 19 日、同社が使うビジネスチャットで、役員を装った第三者が不正な送金指示を出した。指示は従来のルールとプロセスに則って処理され、同日、同社の口座から外部の口座へ 9,600 万円が振り込まれた（3 月 27 日の開示）。
- 気づいた経緯
- 振込の後まもなく、社内で指示の真正性に疑いが生じ、事実を確認して、第三者の不正の可能性が高いと判断した。金融機関に組戻しを頼み、警察に被害届を出したが、回収は極めて困難とした。
- 損失
- 9,600 万円を、2026 年 3 月期に「送金詐欺損失」として特別損失に計上した（5 月 15 日の開示）。
- 調査
- 弁護士の法律事務所による特別調査（4 月 3 日〜5 月 12 日）で、役職員の故意の不正ではなく、外部の第三者によるものと確認した。
- 公表されていないこと
- どのチャットのサービスか。役員のアカウントが乗っ取られたのか、偽のアカウントが作られたのか（調査は、偽のアカウントなどへの警戒の不足を原因に挙げている）。誰が承認したか。振込先が初めての相手だったか。
用語メモ
ビジネスチャット — 社内の連絡に使うチャットのサービス。ZUU はどのサービスかを公表していない。
組戻し — 振り込んだお金を、送り先の銀行に頼んで戻してもらう手続き。受け取った側が引き出したあとは戻らないことが多い。
ニセ社長詐欺 — 経営者や役員を名乗って、社員に送金させる詐欺。警察庁は 2026 年 1 月ごろから発生していると伝えている。
公表された範囲で見ると、攻撃は次の連鎖で成立した。
止めどころは ②。指示が本当にその役員から出たかを、振込の前に照合していれば、③ の振込は起きない。同社は、② は従来のルールに則っていたとしている。
3 月 19 日。偽のアカウントか乗っ取りかは非公表。
同社は、チャットと振込の手続きのつなぎ目で、指示の真正性の確認が不十分だったとする。
同日。
振込の後まもなく。回収は極めて困難とされる。
時系列 — 公表と対応
- ビジネスチャットで役員を装う送金指示が出され、同日 9,600 万円が振り込まれる。まもなく社内で疑いが生じる。
- ZUU が資金流出の発生を開示する。
- 法律事務所による特別調査が始まる（5 月 12 日まで）。
- 特別調査の結果と再発防止策、9,600 万円の特別損失の計上を開示する。
本件の事実は、ZUU の 3 月 27 日と 5 月 15 日の開示（いずれも一次）に拠る。調査報告書そのものは公表されていない。同社は、本件の前から資金管理と送金の承認の手順の見直しに着手しており、その途中で本件が起きたとしている。
公表後の対応
- ZUU（実施済み）: 社内の連絡を Slack に全社で移し、SSO の接続と 2 段階認証を必須にした。送金の承認を複数名にし、初めての振込先には事前に確認する運用を暫定で始めた。銀行口座の管理者の権限が一部に集まっていたのを解き、不要なアカウントを廃止した。
- ZUU（これから）: 高額の振込では、電話・対面・オンラインなどで確認する流れを必須にする。経理の規程を改め、経理の責任者を含めて人を増やす。グループ会社と業務の委託先も含めたセキュリティの基準を整える。役員報酬の一部を自主返上し、経理・財務は当面、代表取締役が直接受け持つ。
- 特別調査が挙げた原因: 支払いの承認と出金の内部統制の不十分さ（規程の理解不足と運用の不徹底、出納責任者の経理の知識・経験の不十分さ）、経理部門の人手不足、内部監査の結果の認識不足、偽のアカウントなどへの警戒とビジネスチャットへの対策の不十分さ。
- 業界の動き: 警察庁は、2026 年 1 月ごろから、経営者を装うメールで SNS のグループを作らせ、口座の残高を答えさせたうえで送金させる「ニセ社長詐欺」が発生しているとし、1〜6 月で 127 件、約 38 億 8,000 万円の被害を伝えた。
なぜ止まらなかったか
この事案の失敗は、社内のルールが無かったことではない。ルールはあったが、送金の指示が本当にその役員から出たかを照合する層が、振込の手前に無かったことにある。
同社は、振込は従来のルールとプロセスに則って行われたと開示した。のちの調査は、規程の運用の不徹底を挙げた。指示が本当にその役員から出たかを、振込の前に照合する手順は見えない。
ここでいう証明は、送金の指示が本当にその役員から出たかを、振込の前に、指示が届いたのとは別の手段で照合し、記録に残すこと。検出は、振込の後に不審に気づくこと。
外部の口座へ
社内では振込の後まもなく指示が疑われ、すぐに組戻しと被害届に動いたが、お金はすでに外部の口座にあった。指示はチャットで届き、振込は社内の手続きで行われる。その間で、指示の出どころの照合は十分に働かなかった（同社の開示）。この隔たりが検出と証明の落差であり、構造的な欠落である。
同じ構造は、香港のディープフェイク会議詐欺（録画のビデオ会議で CFO を装い、送金を指示した）にも現れている。
対策するには
送金の指示は、どの道で届いても、指示した本人から出たことを照合できたものだけを振り込む。チャットでも、メールでも、電話でも同じにする。そうすれば、役員の名前やアカウントを装われても、それだけではお金は動かない。検出の代わりではなく、検出の手前に置く層である。
注意したい業界・業務
- 業界金融
- 資金の動きが多く、経理の担当者が役員の指示で振り込む場面がある会社。
- 業務承認・決裁
- 役員や上長の指示で行う振込と、その承認。
- 業務振込先・口座の変更
- 初めての振込先や、急ぎの新しい振込先への送金。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 社内の振込のルール | 一部 | 規程はあったが、運用は徹底されていなかった（特別調査）。指示の出どころの照合が規程に入っていたかは、公表されていない。 |
| 送金の承認を複数名に | 一部 | 承認者が増えても、見ているのが同じ指示なら、装われた指示は通りうる。 |
| 2 段階認証・SSO | 一部 | 本物のアカウントの乗っ取りを防ぐ。偽のアカウントからの指示は、別に見分ける必要がある。 |
| 組戻しと被害届 | 効かない | 振込の後の手当てで、送金そのものは止めない。回収は極めて困難とされる。 |
- 指示が届いたのとは別の手段で、指示した本人に照合する。チャットで届いた指示を、同じチャットの中で確かめない。
- 照合できない送金の指示は、振り込まない。急ぎや秘密を求める指示ほど、照合を省かない。
- 誰の指示を、何で照合して振り込んだかを残す。チャットの履歴とは別に、照合の結果を証明として残す。後から、指示の出どころを第三者に示せる。
送金の指示について、組織で確認する 3 項目
- 社内のチャットで届いた送金の指示を、チャットの外で本人に照合する手順があるか。
- 初めての振込先への送金を、照合が済むまで保留にしているか。
- 振込の作成と承認を、同じ人だけで済ませられる設定になっていないか。
注：指示した本人の端末や連絡手段までが乗っ取られている場合は、この照合を通りうる。また、照合は指示の出どころを守るもので、本人が誤った指示を出すことは別に防ぐ必要がある。
Sources
- 一次・開示ZUU「資金流出事案の発生に関するお知らせ」
- 一次・開示ZUU「資金流出事案に関する特別調査の結果及び再発防止策等に関するお知らせ」
- 一次・開示ZUU「2026 年３月期特別損失の計上及び通期連結業績予想と実績値との差異に関するお知らせ」
- 一次・統計警察庁「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」コラム「メールを悪用した新たな詐欺手口～ニセ社長詐欺～」
報道・解析 1 件
- 報道ScanNetSecurity「ビジネスチャット上で役職員を装った第三者による不正な送金指示、従来のルールに則り 9,600万円を振込」