不正アクセスに関するトピックが上がっていましたので、一般要望を投稿します。

ID、パスワードが一致し、ワンタイムパスワードのみ不成立のアクセスが多発している場合、アカウントを持っている人に連絡を行うような運用は可能でしょうか？最後の砦がワンタイムパスワードですが、パスワードが漏れてることを事前に知ることが出来れば実害がかなり減ると思います。

サーバ負荷もあり、ログイン周りの追加実装は大変かもしれませんが、可能であれば検討願います。