Spammer knackten CAPTCHAs mit Menschen für 50 Dollar im Monat, die Rätsel in etwa 20 Sekunden lösten

Eine Analyse der UC San Diego, die auf dem USENIX Security Symposium vorgestellt und im August 2010 von MIT Technology Review berichtet wurde, deckte ein weltweites Netzwerk von Diensten auf, die Spammern dabei helfen, CAPTCHAs zu umgehen: Hunderte, möglicherweise Tausende Arbeitskräfte, die für weniger als 50 Dollar im Monat arbeiten und Rätsel lösen, die von automatisierten Mittelsmännern übermittelt werden, die die Lösungen in Echtzeit an Spammer verkaufen.

Die Ökonomie untergräbt das Design. CAPTCHAs funktionieren, indem sie für Menschen einfach und für Computer schwer sind, also liefert das Relay einfach den Menschen. Die Übermittlung ist so effizient, dass die durchschnittliche Wartezeit auf eine Lösung bei etwa 20 Sekunden liegt – schnell genug, damit Bots E-Mail-Konten registrieren und in Foren und Blogs posten können, ohne unterbrochen zu werden.

Die Forscher untersuchten einen Dienst namens ImageToText, dessen Arbeitskräfte über eine bemerkenswerte Bandbreite von Sprachen hinweg korrekte Antworten lieferten, darunter Niederländisch, Koreanisch, Vietnamesisch, Griechisch und Arabisch. Selbst CAPTCHAs in Klingonisch – gewählt als Kontrolle, weil vielleicht eine von tausend zufälligen Vermutungen treffen würde – wurden von den Arbeitskräften gelöst.

Die Studie kam zu dem Schluss, dass Websites von Microsoft, AOL und Google sowie das weit verbreitete reCAPTCHA regelmäßig über diese Dienste kompromittiert wurden; Interviews mit einem anonymen Betreiber, „Mr. E“, bestätigten das Modell. Für versierte Spammer, so fanden die Forscher, waren CAPTCHAs keine Barriere, sondern ein Geschäftskostenfaktor.

Den Turing-Test nicht besiegen – ihn umgehen: Mittelsmänner leiten jedes CAPTCHA an Arbeitskräfte weiter, die unter 50 Dollar im Monat bezahlt werden, und verkaufen die Antworten in Echtzeit an Bots zurück.

Es dokumentiert den genauen Moment, in dem eine Sicherheitskontrolle aufhörte, eine Barriere zu sein, und zu einem Preis wurde – etwa ein Cent pro Rätsel.

Das Systemdesign ist der clevere Teil: automatisierte Mittelsmänner, Echtzeit-Übermittlung und eine verteilte Belegschaft verwandeln menschliche Intelligenz in eine abgerechnete API.

Die Belege sind empirisch, nicht anekdotisch: Standortanalyse der Arbeitskräfte, Live-Experimente einschließlich der Klingonisch-Kontrolle und ein Insider-Interview.

Es zwang die Sicherheitsbranche, CAPTCHAs zu überdenken, da der Test zwar noch funktioniert, die Ökonomie des Angreifers ihn aber absorbiert hatte.

Jede Verteidigung, die gegen Maschinen bepreist wird, kann durch den Preis menschlicher Zeit besiegt werden: Man sollte wissen, welche der eigenen Kontrollen nur so stark ist wie die Kosten dafür, jemanden zu bezahlen, die Aufgabe von Hand zu erledigen.

Die Ergebnisse des USENIX-Papiers brachten den Markt für menschliche Relays 2010 zu Protokoll; die Schlussfolgerung der Studie – dass CAPTCHAs für versierte Spammer ein Geschäftskostenfaktor sind – wurde zur Standarderklärung dafür, warum verzerrte Textprüfungen allein Bots nicht mehr draußen hielten.