TL;DR
- 01何が起きたか
米メリーランド州のボルティモア市は 2025 年 2〜3 月、取引先に払うはずの 2 回の支払い、計 152 万ドルを、取引先の社員を名乗る第三者の口座へ送った。第三者はまず、市の調達のシステム Workday で、取引先の担当者として登録に加えてもらい、次に偽の無効小切手を添えて振込先の変更を出し、2 月 19 日に振込先が切り替わった（市の監察官の報告）。
- 02なぜ通ったか
担当者の追加は、市の職員が取引先に連絡しないまま承認した（監察官）。振込先の変更も 2 人の職員が承認したが、当時の手順は、取引先への電話での確認も、取引先の署名者の一覧も求めていなかった。
- 03欠けていた層
3 月 13 日、受け手の銀行からの連絡で市は気づき、2 回目の支払いは戻った。1 回目の約 80 万ドルは報告の時点で戻っていない。効かなかったのは、担当者の追加と振込先の変更を、取引先の登録済みの連絡先で照合する層である。
何が起きたか
- 当事者
- 米メリーランド州ボルティモア市の買掛金課（市の支払いを扱う。会計検査官室の下にある）。市は 2022 年 8 月から Workday を調達と取引先の管理に使い、取引先はそこで連絡先や振込先を更新する。担当者の追加の申し込みは、調達局と買掛金課が扱う。
- 装われた人
- 取引先の社員。第三者が申し込みに書いた名前はその社員と同じだったが、その社員は取引先の財務に関わっていない。書かれたメールアドレスは、取引先が社員に配るものではなかった。
- 被害
- 2025 年 2 月 21 日に 80 万 3,384.44 ドル、3 月 10 日に 72 万 1,236.60 ドル、計 152 万 4,621.04 ドルが第三者の口座へ送られた。2 回目は市に戻った。1 回目は報告の時点で戻っていない。市は保険の請求を出した。取引先には、2 回分とも払い直した。
- 気づいた経緯
- 3 月 13 日、第三者の口座のある銀行から市の銀行に不正の疑いの連絡があり、市の財務部に伝わった。
- 経路
- 第三者が取引先の社員の情報をどう得たかは公表されていない。市の会計検査官室は当初、報道に対し、第三者が衛星インターネット Starlink の IP アドレスで市の地域による接続制限をすり抜けたと説明したが、市の IT 部門は監察官に、Starlink は Workday への接続に関係していないと説明した。
用語メモ
Workday — 人事や調達に使うクラウドのサービス。ボルティモア市は 2022 年から、取引先が請求・支払いの確認や、連絡先・振込先の更新を行う場として使っている。
無効小切手 — 「VOID」と書いて使えなくした小切手。米国では、口座の番号を示す書類として、振込先の登録に添えることが多い。
監察官室（OIG） — 市の行政の不正・浪費を調べる独立の機関。調べた結果を公開の要約にして出す。
監察官の報告によると、攻撃は次の連鎖で成立した。
止めどころは ② と ③。担当者の追加と振込先の変更を、取引先の登録済みの連絡先で照合していれば、④ の支払いは起きない。② と ③ では、市の職員の承認はあった。
2024 年 12 月 9 日。取引先が配るものではないメールアドレスを書いた。
12 月 11 日。申し込みの一部の情報は、登録と合っていなかった。
2025 年 1 月 10 日に 1 人が承認し、続いてもう 1 人が承認。2 人とも、無効小切手を見た覚えがないとした。2 月 19 日、市の職員の操作で振込先が切り替わる（Workday の記録）。
2 月 21 日と 3 月 10 日。
3 月 13 日。2 回目は戻った。
時系列 — 公表と対応
- 第三者が、取引先の社員を名乗って担当者の追加を申し込む。
- 市の職員が申し込みを承認し、第三者を取引先の登録に加える。第三者は同日から、振込先の変更を何度か試みる。
- 第三者が、取引先の名前の偽の無効小切手を添えて、振込先の変更を出す。
- 1 月 7 日に出された変更を、市の職員が承認する。続いて、もう 1 人の職員も承認する（日付は記載なし）。
- 第三者が、請求の状況を尋ね、振込先を変えるよう求めるメールを市に送る（2 月 5 日にも）。
- 第三者のメールでの求めのあと、Workday の記録では、市の職員の操作で取引先の振込先が第三者の口座に切り替わる。
- 80 万 3,384.44 ドルが第三者の口座へ送られる。
- 72 万 1,236.60 ドルが送られる。のちに市に戻る。
- 第三者の口座のある銀行から、市の銀行に不正の疑いの連絡が入る。
- 監察官室に通報が入る。
- 買掛金課が、監察官の報告への回答を出す。
- 監察官室が、調査の公開の要約を出す。
本件の事実は、監察官室の公開の要約と買掛金課の回答（いずれも一次）に拠る。要約は、市の担当者に出した調査報告の一部を公開したもの。要約の図は申し込みと追加の日付を「2025 年 12 月 9 日・11 日」、本文は無効小切手の提出を「2024 年 1 月 4 日」としているが、前後の経過から、それぞれ 2024 年 12 月、2025 年 1 月の誤りとみて読んだ。
公表後の対応
- 監察官室: 担当者の照合の手順が買掛金課に無かったとし、取引先ごとに権限のある担当者の一覧を作るよう強く勧めた。2020 年と 2022 年の同じ型の事案のあとに作った統制が、今回は使われていなかったとした（会計検査官室の幹部は、Workday への移行で引き継がれなかったと説明した）。監察官室への通報は、市が知ってから約 6 日後だった。職員の研修と、不正の疑いを直ちに報告する決まりも求めた。事案は捜査機関に回した。
- 買掛金課: 振込先の変更では、取引先の登録済みの連絡先に必ず照合する手順に改めた。2025 年 8 月から Workday で、取引先の情報の重要な変更を始められる役割を限り、変更が出たら登録済みの全担当者にメールで知らせ、振込先の変更には 48 時間の待ちと重ねての承認を置き、取引先の情報の急な・重なる・異常な変更に警告を出すとした。口座の照合の仕組みを入れる話し合いも進めている。
なぜ止まらなかったか
この事案の失敗は、承認が無かったことではない。担当者の追加にも振込先の変更にも承認はあったが、取引先の登録済みの連絡先で照合する手順は求められていなかったことにある。
偽の担当者は、取引先の登録済みの連絡先に照合されないまま取引先の登録に加えられた。そこから出された振込先の変更は、2 段の承認を通った。
ここでいう証明は、取引先の登録への担当者の追加と振込先の変更が、本当にその取引先からの申し込みかを、取引先の登録済みの連絡先で照合し、記録に残すこと。検出は、支払いのあとに不正の疑いに気づくこと。
別の口座へ
市が気づいたのは受け手の銀行の連絡によるもので、2 回目の支払いは戻ったが、1 回目は戻っていない。照合が取引先の登録済みの連絡先に向かわない限り、承認する人を重ねても、装った相手はそのまま通る。この隔たりが検出と証明の落差であり、構造的な欠落である。
同じ構造は、ポラリス HD・Booking.com（正規の管理画面で、ホテルの受取口座が書き換えられた）にも現れている。
対策するには
取引先の登録に担当者を加えるときも、振込先を変えるときも、取引先の登録済みの連絡先で照合できたものだけを有効にする。申し込んだ本人や、申し込みに書かれた連絡先では照合しない。そうすれば、取引先の社員の名前を使われても、それだけでは担当者にも振込先にもなれない。検出の代わりではなく、検出の手前に置く層である。
注意したい業界・業務
- 業界行政・公共
- 取引先の多い自治体・公共の事業者。取引先の社員の名前は、入札や契約の公開情報から分かる。
- 業務アカウント・権限の管理
- 取引先のポータルへの担当者の追加と、その権限。
- 業務振込先・口座の変更
- 取引先の振込先の変更と、その裏付けの書類（無効小切手・銀行の確認書）。
いまの対策で防げるか
| 対策 | 今回 | 理由 |
|---|---|---|
| 承認者を重ねる | 一部 | 振込先の変更は 2 人が承認した。取引先への照合が求められていなければ、装った相手も通る。 |
| 裏付けの書類 | 効かない | 無効小切手は偽物だった。承認した 2 人は、見た覚えがないとした。書類は偽れる。 |
| 取引先ポータルでの自己登録 | 一部 | 取引先に入力させる仕組みだが、担当者として加えられた相手の入力も、取引先の操作に見える。 |
| 銀行の不正の検知 | 一部 | 2 回目は戻った。1 回目は間に合わなかった。 |
- 担当者の追加を、振込先の変更と同じ重さで扱う。取引先の登録に人を加えるときも、取引先の登録済みの連絡先で照合する。
- 振込先の変更は、取引先の登録済みの連絡先で照合できたときだけ有効にする。申し込みに書かれた連絡先や、添えられた書類だけで決めない。
- 誰が、何で照合して変更を通したかを残す。取引先ごとの、権限のある担当者の一覧と結びつけて証明として残す。後から、誰の申し込みを誰が照合したかを示せる。
取引先の登録について、組織で確認する 3 項目
- 取引先ごとに、登録を変えてよい担当者の一覧があるか。
- 担当者の追加の申し込みに書かれたメールアドレスが、取引先のものかを照合しているか。
- 振込先が変わったとき、登録済みの全担当者に知らせが届くか。
注：取引先の登録済みの連絡先そのものが乗っ取られている場合は、この照合を通りうる。また、照合は振込先の行き先を守るもので、請求の中身の偽りは別に防ぐ必要がある。
Sources
- 一次・調査の公開の要約ボルティモア市 監察官室 “Public Synopsis of Case #25-0028-I: Fraudster Attempt to Divert $1.5Million of City Funds”
- 一次・監察官への回答ボルティモア市 会計検査官室 買掛金課 “Agency Response to OIG Case #25-0028-I”
報道・解析 1 件
- 報道The Record “Scammer steals $1.5 million from Baltimore by spoofing city vendor”