Spammers burlaram CAPTCHAs com humanos a US$ 50 por mês, resolvendo quebra-cabeças em cerca de 20 segundos

Uma análise da UC San Diego apresentada no USENIX Security Symposium e noticiada pela MIT Technology Review em agosto de 2010 revelou uma rede mundial de serviços que ajudam spammers a contornar CAPTCHAs: centenas, possivelmente milhares, de trabalhadores recebendo menos de US$ 50 por mês, resolvendo quebra-cabeças entregues por intermediários automatizados que vendem as soluções para spammers em tempo real.

A economia derrota o design. Os CAPTCHAs funcionam por serem fáceis para humanos e difíceis para computadores, então o relay simplesmente fornece o humano. A entrega é tão eficiente que a espera média por uma solução fica em torno de 20 segundos — rápido o suficiente para bots registrarem contas de e-mail e postarem em fóruns e blogs sem interrupção.

Os pesquisadores sondaram um serviço, o ImageToText, cujos trabalhadores retornavam respostas corretas em uma variedade notável de idiomas, incluindo holandês, coreano, vietnamita, grego e árabe. Até CAPTCHAs escritos em klingon — escolhido como controle porque talvez uma em mil tentativas aleatórias acertaria — foram resolvidos pelos trabalhadores.

O estudo concluiu que sites operados pela Microsoft, AOL e Google, juntamente com o amplamente usado reCAPTCHA, eram regularmente comprometidos por meio desses serviços; entrevistas com um operador anônimo, o 'Sr. E', confirmaram o modelo. Para spammers sofisticados, os pesquisadores descobriram, os CAPTCHAs não eram uma barreira, mas um custo de fazer negócios.

Não vença o teste de Turing — contorne-o: intermediários transmitem cada CAPTCHA para trabalhadores pagos menos de US$ 50 por mês e vendem as respostas de volta aos bots em tempo real.

Documenta o momento exato em que um controle de segurança deixou de ser uma barreira e se tornou um preço — cerca de um centavo por quebra-cabeça.

O design do sistema é a parte inteligente: intermediários automatizados, entrega em tempo real e uma força de trabalho distribuída transformam a inteligência humana em uma API medida.

A evidência é empírica, não anedótica: análise de localização dos trabalhadores, experimentos ao vivo incluindo o controle em klingon, e uma entrevista com um insider.

Forçou a indústria de segurança a repensar os CAPTCHAs, já que o teste ainda funciona, mas a economia do atacante o absorveu.

Qualquer defesa precificada contra máquinas pode ser derrotada pelo preço do tempo humano: saiba quais dos seus controles são tão fortes quanto o custo de pagar alguém para fazer a tarefa manualmente.

As descobertas do artigo do USENIX colocaram o mercado de relay humano no registro em 2010; a conclusão do estudo — de que, para spammers sofisticados, os CAPTCHAs são um custo de fazer negócios — tornou-se o enquadramento padrão para explicar por que verificações de texto distorcido sozinhas deixaram de manter os bots afastados.