Skip to main content
指数バックオフを備えたSMS Fraud Protectionを使用するには、エンタープライズプランが必要です。詳細については、Auth0の料金をご確認ください。
Auth0のSMS Fraud Protection機能には、SMS電話認証要素向けの指数バックオフが含まれています。SMS Fraud Protectionは、SMS料金詐欺 (SMSポンピングとも呼ばれます) や自動化されたMFAの悪用からアプリケーションを保護します。この機能を有効にすると、テナントはSMS確認リクエストに標準の静的なレート制限ではなく、指数バックオフを適用するようになります。指数バックオフでは、ユーザーごとにリクエスト間の待機時間が段階的に長くなります。これにより、正当なユーザーは問題なくMFAの登録を完了できる一方で、攻撃者がスクリプトで再送信を繰り返す場合は、時間もコストもかかるようになります。

​
仕組み

SMS Fraud Protectionを有効にすると、Auth0はユーザー識別子ごとに、繰り返し送信されるSMSリクエストに遅延を適用します。

​
SMS Fraud Protectionを有効化または無効化する

テナント管理者は、SMS Fraud Protectionをいつでも有効化または無効化できます。無効にすると、テナントには標準のレート制限が適用されます。
  1. Auth0 Dashboard > Security > Multi-Factor Auth に移動します。
  2. Phone を選択します。
  3. SMS送信ポリシーを選択します。
    • SMS Fraud Protection：指数バックオフを使用します。
    • Default send：標準のレート制限を使用します。
  4. Save を選択します。

​
バックオフイベントを監視・監査する

指数バックオフによってユーザーのSMSリクエストが遅延した場合：
  • MFAプロンプトに、新しいコードをリクエストするにはしばらく待つ必要がある旨がユーザーに表示されます。
  • Auth0は監査用に、制限された試行と残りのクールダウン期間を記録したlimit_phoneイベントをテナントログに出力します。limit_phoneの詳細については、テナントログカタログを参照してください。
これらのイベントを確認するには：
  1. Auth0 Dashboard > Monitoring > Logsに移動します。
  2. type: "limit_phone"でフィルタリングします。

​
詳細情報