Un esercito di umani contro il captcha

Sono codici talvolta difficili persino da leggere, frasi spesso mimetizzate in una grafica che una macchina può comprendere solo con grande difficoltà: sono i codici captcha, i sistemi antispam per eccellenza usati per impedire la registrazione automatica di account di posta elettronica o di identità digitali nei servizi online. Codici che in questi mesi sono sotto l’attacco degli spammer, e che ora cedono il passo ad un esercito di craccatori umani .

Delle tendenze emergenti parlano gli esperti dei TrendLabs di Trend Micro, tra i principali produttori di sistemi di sicurezza: a loro dire, in misura sempre più massiccia le organizzazioni criminali dello spam industriale assumono lavoratori umani affinché interpretino milioni di captcha e consentano così la registrazione di milioni di identità fasulle in rete.

Il meccanismo è semplice: un bot automatico procede all’apertura di una nuova registrazione e, giunto al punto in cui si deve inserire il captcha per “certificare” che non si è un bot ma un umano, il bot spedisce l’immagine del captcha ad un dipendente in carne e ossa , che lo risolve per lui e glielo manda così che la registrazione possa essere portata a compimento. Organizzare tutto questo su scala industriale, dicono gli esperti, richiede solo un po’ di tecnologia e dollari da affidare a persone bisognose di lavoro, magari in paesi poveri.

“L’industria del crimine informatico – afferma Rik Ferguson di Trend Micro – non è più il dominio di singoli individui, ma quello di bande organizzate che dispongono di grandi quantità di denaro. Assumendo persone per risolvere il problema dei captcha, con paghe da 2 a 3 dollari al giorno, i cybercriminali hanno accesso a milioni di account registrati”.

Nuovi account e nuove registrazioni significano naturalmente ulteriori possibilità di inondare la rete di immondizia . “Questi account – conferma Ferguson – sono poi utilizzati per inviare milioni di messaggi di spam allo scopo di infettare gli utenti con una quantità di malware, tipo i keylogger per l’accesso a informazioni personali come quelle bancarie o alle password”.