スパマーは月額50ドルの人間を使ってCAPTCHAを突破し、パズルを約20秒で解いていた

USENIX Security Symposiumで発表され、2010年8月にMIT Technology Reviewが報じたカリフォルニア大学サンディエゴ校の分析は、スパマーがCAPTCHAを突破するのを助ける世界的なサービス網を明らかにした。数百人、おそらく数千人の労働者が月額50ドル未満で働き、自動化された仲介業者が配信するパズルを解いていた。仲介業者はその解答をリアルタイムでスパマーに販売していた。

経済性が設計を打ち負かす。CAPTCHAは人間には簡単でコンピュータには難しいことで機能するため、中継サービスは単に人間を供給するだけでよい。配信は非常に効率的で、解答までの平均待ち時間は約20秒にとどまる。これはボットがメールアカウントを登録し、フォーラムやブログに途切れることなく投稿するのに十分な速さだ。

研究者たちはImageToTextという一つのサービスを調査した。その労働者たちはオランダ語、韓国語、ベトナム語、ギリシャ語、アラビア語を含む驚くほど幅広い言語で正しい解答を返した。対照群として選ばれたクリンゴン語のCAPTCHAでさえ――おそらく千回に一度のランダムな推測が当たる程度のものとして選ばれた――労働者たちによって解かれた。

この研究は、Microsoft、AOL、Googleが運営するサイト、および広く使われているreCAPTCHAが、これらのサービスを通じて日常的に突破されていたと結論づけた。匿名の運営者「Mr. E」へのインタビューがこのモデルを裏付けた。研究者たちによれば、巧妙なスパマーにとってCAPTCHAは障壁ではなく、事業を行うためのコストであった。

チューリングテストに打ち勝つのではなく、それを迂回せよ。仲介業者は各CAPTCHAを月額50ドル未満で雇った労働者に流し、解答をリアルタイムでボットに売り戻す。

これは、セキュリティ制御がある瞬間に障壁であることをやめ、価格になったことを正確に記録している。パズル1問あたり約1ペニーである。

巧妙なのはシステム設計だ。自動化された仲介業者、リアルタイムの配信、分散した労働力が、人間の知能を従量課金制のAPIに変える。

証拠は逸話ではなく実証的である。労働者の位置分析、クリンゴン語の対照群を含む実地実験、そして内部関係者へのインタビューである。

これはセキュリティ業界にCAPTCHAを再考させるきっかけとなった。テスト自体は今も機能するが、攻撃者の経済性がそれを吸収してしまったからだ。

機械に対して価格づけされた防御は、人間の時間の価格によって突破されうる。自分の制御のうち、どれがその作業を手作業で行う人に支払うコストと同じ強度しか持たないのかを把握せよ。

USENIXの論文の知見は、2010年に人間中継市場を記録に残した。巧妙なスパマーにとってCAPTCHAは事業を行うためのコストであるというこの研究の結論は、歪んだテキストのチェックだけではボットを締め出せなくなった理由についての標準的な枠組みとなった。