CAPTCHAファームの仕組み
自動化されたクライアントが解決できないCAPTCHAに遭遇すると、そのチャレンジをAPI経由で解決サービスに転送します。サービスは答えを返し、ボットはあたかも自分で解決したかのようにそれを送信します。この分離により、ボットはパズルを理解する必要が一切なく、それを中継して応答に対価を払うだけで済みます。
人間による解決を用いるファームは、チャレンジを作業者に振り分け、1問あたり1セントのわずかな割合で手動で解決させます。多くの場合、大量の処理を行う運用です。自動化されたファームは、代わりに機械学習モデルや専門のソルバーを使い、これらは特に画像やテキストのパズルにおいてますます高性能になっています。多くのサービスは両方のアプローチを混ぜ、自動化が失敗したときにだけ人間へエスカレーションします。
解決はチャレンジごとに値付けされるため、成功したリクエストごとに抽出される価値がわずかな解決料金を上回る限り、経済性は攻撃者に有利です。だからこそCAPTCHAだけでは、断固として資金力のある不正を止めることはめったにありません。CAPTCHAはコストを課しますが、それは硬い技術的障壁ではなく、限りがあり多くの場合手頃なものにすぎません。
CAPTCHAファームの存在は、解決可能なチャレンジに依存しない検知を支持する中心的な論拠です。基盤となる自動化を、その環境、行動、ネットワーク文脈から識別できるなら、パズルの答えを外注しても攻撃者の助けにはなりません。チャレンジが提示される前に、セッションはすでに自動化されたものと認識されているからです。
不正防止においてCAPTCHAファームが重要な理由
CAPTCHAファームは、Web上で最も一般的なフリクション対策を直接損ない、人間検証の門とされるものを計量された経費へと変えてしまいます。クレデンシャルスタッフィング、大量のアカウント作成、転売、スクレイピングが、チャレンジにもかかわらず進行できるようにする一方で、チャレンジそのものは正規ユーザーを害するフリクションを加えます。その役割を理解することは、なぜ層状の検知がいかなる単一のチャレンジよりも重要なのか、そしてなぜ最良の防御が、単に買い切れてしまうパズルへの依存を最小化するのかを説明します。
TRACIOでの扱い方
TRACIOは、CAPTCHAが表示される前にすら、デバイス環境、行動シグナル、ネットワーク評価から自動化を識別することで、解決可能なチャレンジへの依存を減らします。パズルの解決を外注するボットも同じ自動化とフィンガープリントの特性を帯びているため、プラットフォームは誰または何がチャレンジに答えようとも、それにフラグを立てられます。これにより、チームは本当に曖昧なセッションのためにチャレンジを留保し、大半の実在ユーザーをそれから完全に解放できます。