Los investigadores de ciberseguridad advierten contra la venta de servicios de ruptura de captcha para eludir los sistemas diseñados para distinguir a los usuarios legítimos del tráfico de bots.
“Debido a que los ciberdelincuentes están interesados en descifrar captchas con precisión, se han creado varios servicios que abordan principalmente esta necesidad del mercado”, dijo “Trend Micro” en un informe publicado la semana pasada.
“Estos servicios de resolución de CAPTCHA no utilizan tecnología [de reconocimiento óptico de caracteres] ni métodos avanzados de aprendizaje automático; en cambio, descifran los CAPTCHA asignando las tareas de descifrado de CAPTCHA a solucionadores humanos reales”.
CAPTCHA, abreviatura de Prueba de Turing Pública Completamente Automatizada para Distinguir Computadoras y Humanos, es una herramienta para distinguir usuarios humanos reales de usuarios automatizados para combatir el spam y limitar la creación de cuentas falsas.
“Esto facilita que los clientes de servicios de descifrado de captchas desarrollen herramientas automatizadas dirigidas a servicios web en línea”, dijo el investigador de seguridad Joey Kostoya. “Y dado que las personas reales resuelven captchas, se niega el propósito de filtrar el tráfico automatizado de bots a través de estas pruebas”. Eso no es todo. Se ha observado que los actores de amenazas compran servicios de descifrado de captchas y los usan junto con el software proxy para ocultar las direcciones IP de origen y eludir las barreras anti-bot. Comercializado como una herramienta para compartir el ancho de banda de Internet no utilizado de un usuario con otras partes a cambio de “ingresos pasivos”, el software proxy convierte efectivamente el dispositivo en el que se ejecuta en un servidor proxy en casa.
En un caso, un servicio de descifrado de captchas para el popular mercado de comercio social Poshmark enrutó las solicitudes de tareas de los bots a través de una red de software proxy. “CAPTCHA es una herramienta común que se usa para prevenir el spam y el abuso de bots, pero el uso cada vez mayor de los servicios de descifrado de CAPTCHA está reduciendo la efectividad de CAPTCHA”, dijo Kostoya. “Si bien los servicios web en línea pueden bloquear la IP de origen de los usuarios malintencionados, el uso cada vez mayor de software proxy hace que este método sea tan inútil como los captchas”. Para mitigar tales riesgos, se recomienda a los servicios web en línea que complementen los CAPTCHA y las listas negras de IP con otras herramientas contra el abuso.
FUENTE: The Hacker News
