「このパスワードは、他のサイトから漏えいしたパスワードの公開リストに含まれています」という警告が表示されるのはなぜですか？

パスワードは、サイバー攻撃やアカウントへの不正アクセスに対する最初の防御線です。 現在、強力なパスワード要件の適用は、インターネット全体で標準的な対応です。 しかし、各オンラインサービスやウェブアプリケーションごとに長くて固有の認証情報を覚えるのは難しく、その結果、パスワードの再利用（同じパスワードを複数のサービスで使い回すこと）が非常に一般的になっています。 

パスワードの再利用により、Credential stuffing攻撃が広まりました。 Credential stuffingは、あるサービスから盗まれたアカウント認証情報を、同じパスワードを再利用している他のサービスのユーザーアカウントへの不正アクセスに使うサイバー攻撃の一種です。
パスワードがどれほど強力でも、一件の侵害で全アカウントのセキュリティが損なわれる可能性があります。

この種の攻撃からユーザーを保護するため、HIBPとの連携に基づくセキュリティチェックを導入し、パスワードが公開されている侵害データのセットに含まれているかどうかを確認できるようにしています。 このリンクから、パスワードが他のリソースでのデータ侵害により以前に漏えいしていないかを自分で確認できます。

ご安心ください。お客様のデータを第三者サービスと共有することはありません。 パスワードはパスワードハッシュ関数によって保護されています。これは、パスワードを安全に保存するために一般的に使われる、一方向の変換です。 パスワードを平文で保存することはなく、パスワードをお客様から提供された場合にのみ、そのパスワードが侵害されているかどうかを確認します。 

ログイン時、登録時、またはパスワード更新時に表示される「このパスワードは、他のサイトから漏えいしたパスワードの公開リストに含まれています」という警告は、使用しているパスワードが他のリソースから漏えいしたことを示しています。 

登録時またはパスワード更新時に、侵害されたパスワードを新しいパスワードとして設定することはできません。 ただし、ログイン後にこの警告が表示される場合は、現在のパスワードが侵害されていることを意味します。 アカウントを保護するため、別のパスワードを作成するよう求められます。 パスワードを変更しない場合、警告が最初に表示されてから十日以上経過すると、次回のログイン時に自動的にリセットされます。 Semrushアカウントに関連付けられたEメールアドレスに送信されたリンクを使用して、新しいパスワードを選択する必要があります。

ご注意ください。パスワードの漏えいは、お客様のアカウントとまったく関係がない場合があります。 たとえば、パスワードが「123456789」で、他の誰かがインターネット上のどこかでまったく同じパスワードを使っていた場合、侵害されたのはその人のアカウントだった可能性があります。 それでも、現在のパスワードが既知のデータベース漏えいで公開されているものと一致しているため、警告メッセージが表示されます。
いずれにしても、この警告はパスワードの信頼性が低いことを示しているため、より強力な新しいパスワードを作成することをおすすめします。

新しいパスワードには、次の要素を含める必要があります：

• 8文字を超えるもの;
• 小文字と大文字の両方;
• 少なくとも1つの数字.

他のサービスで使用しない固有のパスワードを作成することを強く推奨します。ほかのサービスで侵害が発生すると、Semrushアカウントも侵害されるリスクがあるためです。 パスワードマネージャーを使えば、固有で信頼性の高いパスワードを保存、管理、生成 できるため、覚えておく必要があるのはパスワードマネージャーの認証情報だけになります。

ご不明な点やご懸念がございましたら、サポートチームまでお気軽にお問い合わせください。