Granja de CAPTCHA

Cuando un cliente automatizado se encuentra con un CAPTCHA que no puede resolver, reenvía el desafío a un servicio de resolución a través de una API. El servicio devuelve la respuesta, que el bot envía como si lo hubiera resuelto él mismo. Este desacoplamiento significa que el bot nunca necesita entender el rompecabezas; solo necesita retransmitirlo y pagar por la respuesta.

Las granjas con trabajadores humanos enrutan los desafíos a trabajadores que los resuelven manualmente por una fracción de centavo cada uno, a menudo en operaciones de gran volumen. Las granjas automatizadas, en cambio, usan modelos de aprendizaje automático y solucionadores especializados que se han vuelto cada vez más capaces, en particular para rompecabezas de imagen y texto. Muchos servicios mezclan ambos enfoques, escalando a humanos solo cuando la automatización falla.

Como la resolución tiene un precio por desafío, la economía favorece al atacante siempre que el valor extraído por solicitud exitosa supere la pequeña tarifa de resolución. Por eso los CAPTCHAs por sí solos rara vez detienen el abuso decidido y bien financiado: imponen un coste, pero uno acotado y a menudo asequible, en lugar de una barrera técnica dura.

La existencia de las granjas de CAPTCHA es el argumento central a favor de una detección que no dependa de un desafío resoluble. Si la automatización subyacente puede identificarse a partir de su entorno, su comportamiento y su contexto de red, entonces subcontratar la respuesta del rompecabezas no ayuda al atacante, porque la sesión ya fue reconocida como automatizada antes de que el desafío se presentara siquiera.