Des spammeurs ont contourné les CAPTCHAs grâce à des humains payés 50 $ par mois, résolvant les énigmes en une vingtaine de secondes

Une analyse de l'UC San Diego présentée au symposium USENIX Security et rapportée par MIT Technology Review en août 2010 a révélé un réseau mondial de services qui aident les spammeurs à franchir les CAPTCHAs : des centaines, voire des milliers de travailleurs payés moins de 50 $ par mois, résolvant des énigmes transmises par des intermédiaires automatisés qui revendent les solutions aux spammeurs en temps réel.

L'économie du procédé défait la conception. Les CAPTCHAs fonctionnent parce qu'ils sont faciles pour les humains et difficiles pour les ordinateurs ; le relais se contente donc de fournir l'humain. L'acheminement est si efficace que l'attente moyenne pour une solution tourne autour de 20 secondes — assez rapide pour que les bots créent des comptes de messagerie et publient sur des forums et des blogs sans interruption.

Les chercheurs ont sondé un service, ImageToText, dont les travailleurs renvoyaient des réponses correctes dans une remarquable variété de langues, dont le néerlandais, le coréen, le vietnamien, le grec et l'arabe. Même des CAPTCHAs rédigés en klingon — choisis comme témoin parce qu'environ une devinette aléatoire sur mille aboutirait — ont été résolus par les travailleurs.

L'étude a conclu que les sites exploités par Microsoft, AOL et Google, ainsi que le très répandu reCAPTCHA, étaient régulièrement compromis par le biais de ces services ; des entretiens avec un opérateur anonyme, « M. E », ont confirmé le modèle. Pour les spammeurs avertis, ont constaté les chercheurs, les CAPTCHAs n'étaient pas un obstacle mais un coût d'exploitation.

Ne pas vaincre le test de Turing — le contourner : les intermédiaires transmettent chaque CAPTCHA à des travailleurs payés moins de 50 $ par mois et revendent les réponses aux bots en temps réel.

Cela documente le moment précis où un contrôle de sécurité a cessé d'être un obstacle pour devenir un prix — environ un centime par énigme.

La conception du système est la partie ingénieuse : des intermédiaires automatisés, une livraison en temps réel et une main-d'œuvre distribuée transforment l'intelligence humaine en API facturée à l'usage.

Les preuves sont empiriques, non anecdotiques : analyse de la localisation des travailleurs, expériences en conditions réelles incluant le témoin en klingon, et entretien avec un initié.

Cela a forcé l'industrie de la sécurité à repenser les CAPTCHAs, car le test fonctionne toujours mais l'économie de l'attaquant l'a absorbé.

Toute défense calibrée contre les machines peut être vaincue par le prix du temps humain : sachez lesquels de vos contrôles ne valent que ce que coûte le fait de payer quelqu'un pour accomplir la tâche à la main.

Les conclusions de l'article USENIX ont porté le marché du relais humain au dossier en 2010 ; la conclusion de l'étude — que, pour les spammeurs avertis, les CAPTCHAs sont un coût d'exploitation — est devenue le cadre de référence pour expliquer pourquoi les seules vérifications à texte déformé ont cessé de tenir les bots à l'écart.