CAPTCHA-Farm

Wenn ein automatisierter Client auf ein CAPTCHA stößt, das er nicht lösen kann, leitet er die Herausforderung über eine API an einen Lösungsdienst weiter. Der Dienst liefert die Antwort zurück, die der Bot einreicht, als hätte er die Herausforderung selbst gelöst. Diese Entkopplung bedeutet, dass der Bot das Rätsel nie verstehen muss; er muss es nur weiterleiten und für die Antwort bezahlen.

Farmen mit menschlichen Arbeitskräften leiten die Herausforderungen an Arbeiter weiter, die sie manuell für den Bruchteil eines Cents pro Stück lösen, oft in Operationen mit hohem Volumen. Automatisierte Farmen nutzen stattdessen Modelle des maschinellen Lernens und spezialisierte Löser, die zunehmend leistungsfähiger geworden sind, insbesondere bei Bild- und Textaufgaben. Viele Dienste mischen beide Ansätze und eskalieren nur dann zu Menschen, wenn die Automatisierung scheitert.

Da das Lösen pro Herausforderung bepreist ist, begünstigt die Ökonomie den Angreifer, sobald der pro erfolgreicher Anfrage extrahierte Wert die kleine Lösungsgebühr übersteigt. Deshalb stoppen CAPTCHAs allein entschlossenen, gut finanzierten Missbrauch selten: Sie verhängen Kosten, aber begrenzte und oft erschwingliche, statt einer harten technischen Barriere.

Die Existenz von CAPTCHA-Farmen ist das zentrale Argument für eine Erkennung, die nicht von einer lösbaren Herausforderung abhängt. Wenn die zugrunde liegende Automatisierung anhand ihrer Umgebung, ihres Verhaltens und ihres Netzwerkkontexts identifiziert werden kann, dann hilft dem Angreifer das Auslagern der Rätselantwort nicht, weil die Sitzung bereits als automatisiert erkannt wurde, bevor die Herausforderung überhaupt präsentiert wurde.