스패머들이 월 50달러짜리 인간을 동원해 약 20초 만에 퍼즐을 풀며 CAPTCHA를 무력화했다

USENIX Security Symposium에서 발표되고 2010년 8월 MIT Technology Review가 보도한 UC 샌디에이고의 분석은 스패머들이 CAPTCHA를 통과하도록 돕는 전 세계적인 서비스 네트워크를 밝혀냈다. 월 50달러 미만을 받고 일하는 수백, 어쩌면 수천 명의 노동자들이 자동화된 중개업자가 전달한 퍼즐을 풀고, 그 중개업자는 해답을 스패머에게 실시간으로 판매한다.

경제성이 설계를 무너뜨린다. CAPTCHA는 인간에게는 쉽고 컴퓨터에게는 어렵다는 원리로 작동하므로, 중계 시스템은 그저 인간을 공급하면 된다. 전달이 워낙 효율적이어서 해답을 받기까지 평균 대기 시간은 약 20초에 머문다 — 봇이 중단 없이 이메일 계정을 등록하고 포럼과 블로그에 글을 올리기에 충분히 빠르다.

연구진은 ImageToText라는 한 서비스를 조사했는데, 그 노동자들은 네덜란드어, 한국어, 베트남어, 그리스어, 아랍어를 포함한 놀라운 범위의 언어에서 정답을 반환했다. 무작위 추측 천 번 중 한 번쯤 맞을 것이라는 이유로 대조군으로 선택된 클링온어로 설정된 CAPTCHA조차 노동자들이 풀어냈다.

이 연구는 Microsoft, AOL, Google이 운영하는 사이트와 널리 쓰이는 reCAPTCHA가 이러한 서비스를 통해 정기적으로 뚫렸다고 결론지었으며, 익명의 운영자 'Mr. E'와의 인터뷰가 이 모델을 확인해 주었다. 연구진은 정교한 스패머에게 CAPTCHA는 장벽이 아니라 사업을 영위하는 비용이라고 밝혀냈다.

튜링 테스트를 이기지 말고 우회하라: 중개업자가 각 CAPTCHA를 월 50달러 미만을 받는 노동자에게 전달하고 해답을 봇에게 실시간으로 판매한다.

보안 통제가 장벽이기를 멈추고 가격이 된 정확한 순간을 기록한다 — 퍼즐 하나당 약 1센트다.

시스템 설계가 영리한 부분이다: 자동화된 중개업자, 실시간 전달, 분산된 노동력이 인간의 지능을 사용량 기반 API로 바꾼다.

증거는 일화가 아니라 실증적이다: 노동자들의 위치 분석, 클링온어 대조군을 포함한 실제 실험, 내부자 인터뷰.

이는 보안 업계가 CAPTCHA를 재고하도록 강제했다. 테스트는 여전히 작동하지만 공격자의 경제성이 그것을 흡수해 버렸기 때문이다.

기계를 상대로 가격이 매겨진 방어책은 인간 시간의 가격으로 무력화될 수 있다: 자신의 통제 중 어느 것이 그 작업을 손으로 해 줄 사람에게 지불하는 비용만큼만 강한지 알아야 한다.

USENIX 논문의 발견은 2010년 인간 중계 시장을 공식 기록에 남겼다. 정교한 스패머에게 CAPTCHA는 사업을 영위하는 비용이라는 이 연구의 결론은 왜곡된 텍스트 확인만으로는 더 이상 봇을 막지 못하는 이유에 대한 표준적인 설명 틀이 되었다.