この半年、なぜ eventos は新機能よりセキュリティを優先したのか。

この記事の要点

• eventos は、この半年、新機能の開発よりセキュリティ対策を優先しました。2026年8月にリリースした eventos 4.8 で、7つの分野に取り組んでいます
• 10月21日、PHP の重大な脆弱性への対応として、eventos の全サービスを一時停止しました。翌22日の朝に復旧しています
• アプリ側の基盤は、2026年内の開発・テストの概ねの完了を目指して、開発を進めています。完成後は、参加者の方に、新しいアプリへのアップデートが必要になります。時期と手順は、決まり次第ご案内します
• アクセス集中への備え（レート制限・待合室）は、β版でテスト中です。2026年内の正式提供を予定しています
• 来場者向けの Web を新しく作り直しました。すでにあるイベント・ポータルは、新しい Web への移行をお願いします。これまでの Web の提供は、2027年3月に終了する予定です
• 導入をご検討中のお客様のセキュリティチェックシートへの回答など、個別のご相談をお受けしています

はじめに：eventos が、この半年いちばん力を入れたこと

執行役員CPO & eventech 本部長の滝川です。

eventos は、イベントに参加する方の氏名・連絡先・所属といった情報を、主催者様と私たちが一緒にお預かりする製品です。その責任を果たし続けるために、この半年は新機能の開発より、セキュリティ対策を優先すると決めました。

eventos 4.8 は、見た目が大きく変わる更新ではありません。現在お使いのお客様には、移行というお手間も増やしてしまいました。それでも必要な更新だったと考えています。この記事では、なぜそう判断したのか、開発チームで何に取り組んだのかをお伝えします。

なぜ、今だったのか

国内では、システムの弱点を突かれて個人情報が漏れる事件が相次いでいます。2026年10月には、関係する機関が続けて注意喚起を出しました。

• 10月7日：個人情報保護委員会が、大規模な漏えい等事案を踏まえた注意喚起を公表
• 10月9日：IPA が、不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策を公表（経済産業省・総務省・金融庁も同日に注意喚起）
• 10月13日：NICT が、アプリの解析を手がかりにしたサーバーへの攻撃への注意を公表
• 10月22日：JPCERT/CC が、PHP の複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起を公表（10月26日に更新）

各機関の注意喚起は、内閣官房 国家サイバー統括室の取りまとめで確認できます。PHP の脆弱性は、JPCERT/CC の注意喚起をご覧ください。

IPA の「情報セキュリティ10大脅威 2026」でも、組織向けの1位はランサム攻撃、2位はサプライチェーン（委託先や外部の部品）を狙った攻撃で、3位には AI の利用をめぐるサイバーリスクが初めて入りました。お客様から「個人情報をどう管理しているのか」と確認いただく機会も増えています。

eventos の開発は、普段、お客様のご要望から始まります。いただいた声を整理し、優先度をつけて、機能として届ける。この流れは、これからも変わりません。

ただ、セキュリティは「困りごと」として表に出てきた時点で、すでに手遅れになりがちです。個人情報は、一度漏れると元に戻せません。止まってしまったイベントも、やり直せません。「今は誰からも求められていない対策」が「あって当然の前提」になる時代に、要望が来てからでは間に合いません。

そこで私は、ご要望に応える開発の優先度を、この半年は意図的に下げる判断をしました。時代が求める水準に先に追いつくための先行投資として、開発チームがセキュリティ対策と、今後の土台づくりに力を振り向けました。

基準には、IPA の「情報セキュリティ10大脅威 2026」と、国際的な指針である OWASP Top 10 を使いました。この基準に照らした社内点検と、外部の専門会社による脆弱性診断をもとに、被害が起きてから直すのではなく、弱点になりうる箇所を、悪用される前に直すことを大事にしました。

開発チームが取り組んだこと

攻撃に備える：7つの分野

① 基盤の更新（古い型の鍵は、開け方が知られている） サーバーのソフトウェアと OS を最新にし、サーバー構成も新しい形へ移しました。来場者向けの Web は、新しい技術で作り直しています。今後も修正を受け続けられる土台です。

② 外部の部品の点検（出入りの業者を装って入り込まれる） 製品が使っている外部の部品（ライブラリ）に弱点がないかを、定期的に調べるようにしました。

③ アクセス制御（合鍵で、隣の部屋まで開いてしまう） 中でも力を入れた分野です。操作のたびに、「その人にその権限があるか」「そのデータはその人の会社のものか」をサーバー側で確かめます。国際的な指針でも、代表的な弱点として挙げられている分野です。

④ 認証の強化（玄関の本人確認が甘い） 重要な変更の前にパスワードの再入力を求めるなど、本人確認を強めました。

⑤ 公開範囲の見直し（書類を窓際に置いたままにしている） 情報やファイルの公開範囲を点検し、不要な公開を見直しました。画面の表示に必要のない個人情報は、返さないようにする対応を進めています。

⑥ 入力値の検証（届いた荷物に危ない物が混ざっている） 入力欄やアップロードされたファイルに、悪意あるプログラムを紛れ込ませる攻撃への備えを強めました。

⑦ 通信の暗号化（はがきで大事な話を送る） 暗号化されていない通信を受け付けないようにし、暗号方式も新しいものに更新しました。

これらは、もともと運用している基本（体制や教育、個人情報の管理、バックアップ、不正の検知や異常時の対応など）の上に積み重ねた取り組みです。

現在進めていること

アプリ側の基盤の作り直し（2026年内に開発・テストの概ね完了予定）

Web で強めてきたセキュリティ対策に、アプリ側も遅れずに追従できるよう、アプリ側の基盤を新しく作り直しています。2026年内の開発・テストの概ねの完了を予定しています。

完成後は、これまでのアプリはサポートできなくなるため、参加者の方に、新しいアプリへのアップデートが必要になります。お客様への影響は、この記事の後半「お客様へのお願いとご案内」でお伝えします。

アクセス集中への備え（β版テスト中・2026年内に正式提供予定）

販売開始などでアクセスが集中しても、サービス全体が止まらないように、「レート制限」と「待合室」を用意しています。

• レート制限：お客様ごとに、一定時間あたりのアクセス回数に上限を設ける仕組みです
• 待合室：同時に入れる人数に上限を設け、超えた方を順番にご案内する仕組みです

現在はβ版でテストしており、2026年内の正式提供を予定しています。

10月21日、eventos の全サービスを止めました

2026年10月21日、PHP の重大な脆弱性が公表されました。悪用される前に備えるために、私は、修正版を適用して動作を確認するまで、eventos の全サービスを止めると決めました。

• 停止：10月21日（水）20時から。管理画面、イベントサイト、申込フォーム、当日受付、アプリ、API 連携、メール配信など、eventos の全サービスが対象です
• 復旧：修正版の適用と動作確認を終えて、翌22日（木）の朝8時ごろに復旧しました。

この時間で復旧できたのは、eventos 4.8 のセキュリティ更新で基盤を新しくしていたからです。基盤が古いままだったなら、修正版を適用して動作を確認するまでに、もっと長い時間がかかっていたと考えています。「今後も修正を受け続けられる土台にする」という①の取り組みが、実際に役に立ちました。

夜のご案内となり、ご利用中のお客様と、イベント当日を控えていた主催者様に、大きなご不便をおかけしました。この場でお詫びします。 停止した時点で、不正アクセスや情報漏えいなどの被害は確認されていません。

止める判断は、軽いものではありません。それでも、「事故が起きてから備える」より「起きる前に備える」ほうがお客様と参加者の方を守れると考え、先に止めることを選びました。この記事で書いてきた考え方を、この週に実際に行動で示すことになりました。

お客様へのお願いとご案内

Web：新しい Web への移行をお願いします

来場者向けの Web を新しく作り直しました。今後のセキュリティ更新と新機能は、この新しい Web を中心に行います。

• これから作るイベント・ポータルは、最初から新しい Web で表示されます。お手続きは不要です
• すでにあるイベント・ポータルは、これまでの Web で動いています。新しい Web への移行をお願いします
• これまでの Web の提供は、2027年3月に終了する予定です

移行の時期や進め方は、弊社の営業担当またはカスタマーサクセス担当者にご相談ください。

アプリ：新しいアプリへのアップデートが必要になります

アプリ側の基盤は、現在開発を進めており、2026年内に開発・テストの概ねの完了を予定しています。基盤が新しくなると、これまでのアプリはサポートできなくなります。そのため、参加者の方には、新しいアプリへのアップデートが必須になります（強制アップデート）。

お客様側で必要になる手続き（新しいアプリの確認や、アプリストアへの申請など）と、参加者の方へのご案内の方法、その時期は、決まり次第ご案内します。お客様のイベントの予定に合わせて進められるよう、時期や進め方は、担当から事前にご相談させてください。

すでにお使いのお客様へ

ご要望をいただいているのに、後回しにする判断は、気持ちのいいものではありませんでした。お待たせしている機能が、たくさんあります。この半年は、新機能のお知らせが少ないと感じられた方も、いらっしゃると思います。また、今回のセキュリティ対策で、一部のお客様にはご迷惑をおかけしました。

それでも、事故が起きてから備えるより、起きる前に備えるほうが、お客様と参加者の方を守れる。そう考えて判断しました。新しい機能と同じくらい、安心して選び、使い続けられることも、製品の価値だと考えています。

おわりに

次の更新では、管理画面から会員のログイン情報を変えたとき、変更前のメールアドレスにお知らせを送る機能を追加します。「気づける」ことを増やすための対策です。 あわせて、アクセス集中への備え（レート制限・待合室）も、β版でのテストを経て、2026年内の正式提供を予定しています。 また、Web で強めてきたセキュリティ対策に、アプリ側も遅れずに追従できるよう、アプリ側の基盤を新しく作り直しています。こちらも、2026年内の開発・テストの概ねの完了を予定しています。

セキュリティ対策に「ここまでやれば完了」はありません。私たちは今後も、続けて点検し、続けて直し、続けてご報告します。

導入をご検討中のお客様のセキュリティチェックシートへの回答など、ご不明な点は、個別にご相談をお受けします。担当の営業までお気軽にご連絡ください。

執行役員CPO & eventech 本部長 滝川 雅俊