Los ciberdelincuentes superan las medidas de seguridad de CAPTCHA

Utilizando herramientas asistidas por ordenador los hackers ya son capaces de eludir las medidas de seguridad de CAPTCHA para tener acceso a información personal y financiera. Así lo ha asegurado la empresa Imperva en su  último Hacker Intelligence Report.

Los atacantes utilizan reconocimiento óptico de caracteres y máquinas de aprendizaje, además de crowdsourcing (el outsourcing a varias personas al mismo tiempo), para solucionar un CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart).

CAPTCHA es un sistema creado en el año 2000 que asegura que la respuesta es generada por una persona y no por una máquina y se utiliza como elemento verificador en multitud de aplicaciones.  A los usuarios se les pide que identifiquen y escriban una serie de letras que están distorsionadas para comprobar que no es un ordenador quien está intentando acceder a una cuenta.

Tal Be’ery, investigador de Imperva, explica en el informe que los atacantes utilizan la automatización para conseguir datos de las páginas web o añadir comentarios y que esta automatización es un problema para las aplicaciones web. Utilizando una serie de técnicas, la empresa de seguridad ha detectado que los atacantes han sido capaces de superar las medidas de CAPTCHA e interactuar con los sites.

Los spammers están utilizando el denominado crowdsourcing para superar el CAPTCHA, una técnica en la que varias partes establecen redes de individuos que desvelan el sentido de miles de caracteres deformados por una pequeña cantidad. De forma que por una pequeña cantidad son capaces de superar la barrera.

El informe de Imperva recoge las mejoras que se han añadido a los CAPTCHAS, como adivinanzas contextuales, más difíciles de resolver con herramientas automatizadas y que se pueden utilizar cuando se sospecha que el usuario en una máquina y no un ser humano.

Imperva defiende que CAPTCHA debería de ser utilizado junto con otros mecanismos para evitar que sea superado, y en su informe analiza cuatro casos, ofreciendo al mismo tiempo recomendaciones sobre la manera de implementar CAPTCHAS como a una parte integradas de la estrategia de seguridad.