> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> ユーザーが侵害されたパスワードに関するメールを受け取る理由と、一般的な Web セキュリティのヒントについて説明します。

# 侵害されたパスワードの検知

<Warning>
  これらの資料および本資料内のいかなる推奨事項も、法務、プライバシー、セキュリティ、コンプライアンス、またはビジネスに関する助言を提供するものではありません。これらの資料は、一般的な情報提供のみを目的としています。最新のセキュリティ、プライバシー、法務に関する動向や、関連するすべての問題が反映されていない場合があります。法務、セキュリティ、プライバシー、コンプライアンス、またはビジネスに関する助言については、お客様ご自身の弁護士またはその他の専門アドバイザーに相談する責任があり、本資料内の推奨事項に依拠すべきではありません。Oktaは、本資料内の推奨事項をお客様が実装したことによって生じる損失または損害について、一切責任を負いません。Oktaは、本資料の内容に関して、いかなる表明、保証、またはその他の確約も行いません。Oktaがお客様に提供する契約上の保証に関する情報は、[okta.com/agreements](http://okta.com/agreements)で確認できます。
</Warning>

<Tooltip tip="侵害されたパスワードの検知: ユーザーが、サードパーティの Web サイトまたはアプリで発生したデータ漏えいによって侵害されたユーザー名/パスワードの組み合わせを使用した場合に、Auth0 が通知する攻撃対策の一形態です。" cta="用語集を表示" href="/docs/ja-jp/glossary?term=Breached+password+detection">侵害されたパスワードの検知</Tooltip>は、盗まれた資格情報を使って登録またはログインしようとする<Tooltip tip="侵害されたパスワードの検知: ユーザーが、サードパーティの Web サイトまたはアプリで発生したデータ漏えいによって侵害されたユーザー名/パスワードの組み合わせを使用した場合に、Auth0 が通知する攻撃対策の一形態です。" cta="用語集を表示" href="/docs/ja-jp/glossary?term=bad+actors">悪意のある攻撃者</Tooltip>から、アプリケーションを保護します。Auth0 は、ユーザーへの通知と、リスクのあるアカウントのブロックの両方を実行できます。

Auth0 は、主要なサードパーティのサイトで発生した大規模なセキュリティ侵害を追跡しています。Auth0 が、お客様のユーザーの資格情報のいずれかが侵害に含まれていたことを検出すると、侵害されたパスワードの検知機能が作動します。その結果、Auth0 は次のことを実行できます。

* 盗まれた資格情報を使った新規ユーザー登録をブロックする。ユーザー名/パスワードの組み合わせ全体を完全にブロックします。
* 盗まれた資格情報を使ったログインをすべてブロックする。アカウント全体を完全にブロックし、悪意のある攻撃者がアプリケーションにアクセスするのを防ぎます。ユーザーはパスワードを変更するまでログインできません。
* ログインの試行があった場合に、ユーザーにメールを送信する。メールではリスクについて知らせ、直ちにパスワードを変更するよう案内します。ユーザーに送信するメッセージはカスタマイズできます。詳しくは、[Customize Blocked Account Emails](/docs/ja-jp/customize/email/customize-blocked-account-emails)を参照してください。

<div id="detect-breaches-faster-with-credential-guard">
  ## Credential Guard で漏えいをより迅速に検出
</div>

漏えいパスワードの検出は、一般公開された漏えいデータに基づいて行われます。Credential Guard は、漏えいパスワードの検出に追加できる Auth0 の追加サービスで、漏えいの有無を確認し、侵害された資格情報をより迅速に通知できるようにします。

|              | 漏えいパスワード保護                                           | Credential Guard                                      |
| ------------ | ---------------------------------------------------- | ----------------------------------------------------- |
| **対象プラン**    | B2B / B2C Professional および Enterprise                | Enterprise プランの攻撃対策アドオンの一部                            |
| **データ収集方法**  | Web スキャナーとスクレイパーが、公表されたセキュリティ侵害で漏えいしたユーザーの資格情報を検索します | 専任のセキュリティチームが犯罪コミュニティに潜入し、通常は入手できない漏えいデータへのアクセスを獲得します |
| **一般的な検出時間** | 最大 7～13 か月                                           | 12～36 時間                                              |
| **対象範囲**     | 英語のみ                                                 | 200 以上の国と地域                                           |

Credential Guard を Auth0 契約に追加するには、[お問い合わせください](https://auth0.com/get-started?place=header\&type=button\&text=talk%20to%20sales)。

<div id="configure-breached-password-detection">
  ## 漏えいパスワード検知を設定する
</div>

有効にすると、検知方法、対応シナリオ、通知など、漏えいパスワード検知の設定をカスタマイズできます。

1. [Auth0 Dashboard > Security > Attack Protection](https://manage.auth0.com/#/security/attack-protection) に移動し、**Breached Password Detection** を選択します。

   <Frame>
     <img src="https://mintcdn.com/translations/eVsQcTnbClN-oB7d/docs/images/cdy7uua7fh8z/239K5la6duvT7ZwpAt2ED1/555a7396d08120e32d5d226d41d84d31/Screen_Shot_2022-01-20_at_3.46.04_PM.png?fit=max&auto=format&n=eVsQcTnbClN-oB7d&q=85&s=c16a6dc9688ca8531f10c1d56b2cc482" alt="Auth0 で漏えいパスワード検知を有効にするトグル" width="1031" height="159" data-path="docs/images/cdy7uua7fh8z/239K5la6duvT7ZwpAt2ED1/555a7396d08120e32d5d226d41d84d31/Screen_Shot_2022-01-20_at_3.46.04_PM.png" />
   </Frame>
2. 漏えいパスワード検知を有効にするには、ページ右上のスイッチをオンにします。

   <Frame>
     <img src="https://mintcdn.com/translations/MV7tE-x71x8RWRES/docs/images/cdy7uua7fh8z/4xxqrdFGgd5toF8r6MZNvw/bce8ec201496ecfa538dc5c69e433653/2022-08-22_16-10-13.png?fit=max&auto=format&n=MV7tE-x71x8RWRES&q=85&s=2259462a54209ae379bc466d6ee422a7" alt="Auth0 で漏えいパスワード検知を設定する" width="1093" height="330" data-path="docs/images/cdy7uua7fh8z/4xxqrdFGgd5toF8r6MZNvw/bce8ec201496ecfa538dc5c69e433653/2022-08-22_16-10-13.png" />
   </Frame>

   <Warning>
     対応設定を何も有効にしないまま攻撃対策機能を有効にすると、監視モードが有効になり、関連イベントはテナントログに記録されるだけになります。詳しくは、[攻撃対策のログイベントを表示する](/docs/ja-jp/secure/attack-protection/view-attack-protection-events) を参照してください。
   </Warning>

   <Callout icon="file-lines" color="#0EA5E9" iconType="regular">
     Risk Assessment のテナントログを有効にするトグルが表示されない場合は、[プランをアップグレード](https://manage.auth0.com/#/tenant/billing/subscription)する必要がある可能性があります。
   </Callout>

<div id="configure-detection-method">
  ### 検出方法を設定する
</div>

ご利用のプランで使用可能な機能に応じて、侵害された資格情報を特定する検出方法を設定できます。

1. [Auth0 Dashboard > Security > 攻撃対策](https://manage.auth0.com/#/security/attack-protection) に移動し、**Breached Password Detection** を選択します。
2. **Detection** セクションで、**Breached Password Detection Method** を探します。
3. Auth0 との契約に Credential Guard が含まれている場合は、**As soon as possible based on data received from the dark web, with Credential Guard** を選択します。
4. それ以外の場合は、**When breach data is published** を選択したままにします。
5. 変更を適用するには、**Save** を選択します。

<div id="configure-response-scenarios">
  ### 対応シナリオを設定する
</div>

ユーザーが漏えいした資格情報を入力する可能性がある場合に、Auth0 が各シナリオでどのように応答するかを設定できます。

1. [Auth0 Dashboard > Security > 攻撃対策](https://manage.auth0.com/#/security/attack-protection) に移動し、**Breached Password Detection** を選択します。
2. **Response** セクションを探します。

   <Frame>
     <img src="https://mintcdn.com/translations/6GE5Z24GDCZehiJ9/docs/images/cdy7uua7fh8z/6AWOwZZVAo9pDmeRYppcvn/44b87e4c9b73a681da20db5e16d6b32a/Configure_response_scenarios.png?fit=max&auto=format&n=6GE5Z24GDCZehiJ9&q=85&s=3a06f72c991fd126441b2259c24a6d03" alt="" width="1006" height="468" data-path="docs/images/cdy7uua7fh8z/6AWOwZZVAo9pDmeRYppcvn/44b87e4c9b73a681da20db5e16d6b32a/Configure_response_scenarios.png" />
   </Frame>
3. **Block compromised credentials for new accounts** トグルを有効にして、サインアップ時にユーザーが漏えいした資格情報を使用できないようにします。
4. **Block compromised user accounts** トグルを有効にして、login時にユーザーが漏えいした資格情報を使用できないようにします。
5. **Block compromised credentials use for password reset** トグルを有効にして、パスワードリセット時にユーザーが漏えいした資格情報を使用できないようにします。

<Warning>
  ユーザー認証用の UI ウィジェットである Lock をクラシックログインで使用している場合、新規アカウント向けの漏えいパスワード検知を利用するには、v11.33.3 以降にアップデートする必要があります。Lock の詳細については、[Lock ライブラリ](/docs/ja-jp/libraries#lock) を参照してください。Auth0 SDK を使用している場合も、新規アカウント向けの漏えいパスワード検知を利用するには、最新バージョンにアップデートする必要があります。
</Warning>

<div id="configure-notifications">
  ### 通知を設定する
</div>

漏えいした資格情報の使用について、Auth0 がユーザーや管理者にどのように通知するかを設定できます。

1. [Auth0 Dashboard > Security > 攻撃対策](https://manage.auth0.com/#/security/attack-protection) に移動し、**Breached Password Detection** を選択します。
2. **Notifications** セクションを見つけます。
3. Auth0 がユーザーの資格情報が漏えいした可能性を検出したときにそのユーザーへメールを送信するには、**Send notifications to users with compromised credentials** トグルを有効にします。
4. ユーザーが漏えいした資格情報を使ってサインアップしたときに管理者へメールを送信するには、**Compromised user accounts** トグルを有効にします。
5. ユーザーが漏えいした資格情報を使ってログインしたときに管理者へメールを送信するには、**Compromised user accounts** トグルを有効にします。
6. 通知頻度を選択します: **Immediately**、**Daily**、**Weekly**、または **Monthly**。

   <Warning>
     **daily**、**weekly**、または **monthly** を選択した場合、通知にはアプリケーションに対する侵害の試行件数が含まれます。**immediate** を選択した場合、通知にはアプリケーションを侵害しようとしているユーザーアカウントが含まれます。
   </Warning>
7. **保存** を選択します。

<div id="throttling-behavior">
  ### スロットリングの動作
</div>

通知の過多や過剰なログイベントを防ぐため、Auth0 では漏えいしたパスワードの検知に関する通知とログにスロットリングを適用しています。漏えいした認証情報 (breached password) が検知されると、Auth0 は次の対応を行います。

1. **侵害されたユーザーアカウントをブロックする**: スロットリングは適用されません。漏えいした認証情報が検知されると、ユーザーアカウントは常にブロックされます。
2. **ユーザーに通知を送信する**: ユーザーごとに 1 時間あたり 1 回に制限されます。
3. **テナント管理者に通知を送信する**: IP アドレスごとに 1 時間あたり 1 回に制限されます。
4. **`pwd_leak` イベントをログに記録する**: IP アドレスごとに 1 時間あたり 1 回に制限されます。

<Callout icon="lightbulb" color="#0EA5E9" iconType="solid">
  想定どおりのメール通知が届かない場合、またはテナントログに `pwd_leak` イベントが見当たらない場合は、その検知がスロットリング期間内に発生していないか確認してください。スロットリング期間中は通知とログイベントが抑制されますが、これは想定された動作です。ただし、ユーザーアカウントのブロックは、スロットリングに関係なく常に実行されます。
</Callout>

<div id="customize-email-notifications-to-users">
  #### ユーザーへのメール通知をカスタマイズする
</div>

漏えいした資格情報がログインに使用された場合に Auth0 がユーザーに送信する通知は、設定できます。

1. [Auth0 Dashboard > Branding > メールテンプレート](https://manage.auth0.com/#/templates) に移動します。
2. **Template** ドロップダウンメニューで、**Password Breach Alert** を選択します。
3. 必要に応じてテンプレートを更新します。メッセージをカスタマイズするには、利用可能な[共通変数](/docs/ja-jp/customize/email/email-templates#common-variables)を自由に使用できます。

<div id="verify-detection-configuration">
  ## 検知設定を確認する
</div>

Auth0 が提供する漏えい済みパスワードを使ってサインアップフローとログインフローをテストすることで、設定を確認できます。

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  `AUTH0-TEST-` で始まるパスワードを使用すると、テスト用に Breached Password Detection が作動します。
</Callout>

<div id="signup-flow">
  ### Signupフロー
</div>

Auth0 が漏洩したパスワードを検出した場合のユーザーのSignup体験を確認します。

1. Signupフローを実行し、テスト用の漏洩パスワード (`Paaf213XXYYZZ` または `Paat739!!WWXXYYZZ`) または `AUTH0-TEST-` で始まる任意のパスワードを使って、新しいアカウントの登録を試します。
2. **Block compromised credentials for new accounts** が有効な場合は、エラーメッセージが表示され、漏洩したパスワードは使用できません。
3. [Auth0 Dashboard > Monitoring > Logs](https://manage.auth0.com/#/logs) に移動します。
4. ログで `type: "signup_pwd_leak"` を検索し、Auth0 によってSignupがブロックされたことを確認します。

<div id="login-flow">
  ### ログインフロー
</div>

Auth0 が漏えいしたパスワードを検出した場合のユーザーのログイン時の動作を確認します。

1. [Auth0 Dashboard > User Management > User](https://manage.auth0.com/#/users) でテストユーザーを作成し、テスト用の漏えいパスワード (`Paaf213XXYYZZ` または `Paat739!!WWXXYYZZ`) または `AUTH0-TEST-` で始まる任意のパスワードを設定します。
2. ログインフローに沿って進み、設定した識別子とパスワードを送信します。
3. **Block compromised user accounts** が有効になっている場合、ユーザーにはエラーメッセージが表示され、ログインがブロックされるとともに、パスワードのリセットが案内されます。
4. [Auth0 Dashboard > Monitoring > Logs](https://manage.auth0.com/#/logs) に移動します。
5. `type: "pwd_leak"` でログを検索し、Auth0 によってログインがブロックされたことを確認します。
6. [Auth0 Dashboard > User Management > User](https://manage.auth0.com/#/users) に移動し、テストユーザーを削除します。

<div id="reset-flow">
  ### リセットフロー
</div>

Auth0 が漏えいしたパスワードを検出したときの、ユーザーのパスワードリセット時の動作を確認します。

1. [Auth0 Dashboard > User Management > User](https://manage.auth0.com/#/users) でテストユーザーを作成します。
2. パスワードリセットのフローを進め、漏えいパスワードのテスト用サンプル (`Paaf213XXYYZZ` または `Paat739!!WWXXYYZZ`) のいずれか、または `AUTH0-TEST-` で始まる任意のパスワードを入力します。
3. **Block compromised user accounts** が有効になっている場合、エンドユーザーにはエラーメッセージが表示され、パスワードをリセットできず、別のパスワードを使用するよう案内されます。
4. [Auth0 Dashboard > Monitoring > Logs](https://manage.auth0.com/#/logs) に移動します。
5. ログで `type: “reset_pwd_leak"` を検索し、Auth0 がパスワードリセットをブロックしたことを確認します。
6. [Auth0 Dashboard > User Management > User](https://manage.auth0.com/#/users) に移動し、テストユーザーを削除します。

<div id="learn-more">
  ## 詳しくはこちら
</div>

* [ボット検知](/docs/ja-jp/secure/attack-protection/bot-detection)
* [総当たり攻撃対策](/docs/ja-jp/secure/attack-protection/brute-force-protection)
* [不審な IP アドレスのスロットリング](/docs/ja-jp/secure/attack-protection/suspicious-ip-throttling)
* [攻撃対策のログイベントを表示](/docs/ja-jp/secure/attack-protection/view-attack-protection-events)
* [ブロックされたアカウント向けメールをカスタマイズ](/docs/ja-jp/customize/email/customize-blocked-account-emails)