Blog de Ramón

lunes abril 21, 2008

Los ciberdelincuentes con nuevos métodos para burlar los sistemas CAPTCHA

Según la Wikipedia, Captcha es el acrónimo de Completely Automated Public Turing test to tell Computers and Humans Apart (Prueba de Turing pública y automática para diferenciar a máquinas y humanos). Se trata de una prueba desafío-respuesta utilizada en computación para determinar cuándo el usuario es o no humano.

Los Captchas son utilizados para evitar que robots, también llamados spambots, puedan utilizar ciertos servicios. Por ejemplo, para que no puedan participar en encuestas, registrarse para usar cuentas de correo electrónico (o su uso para envío de correo basura)
o, más recientemente, para evitar que correo basura pueda ser enviado
por un robot (el remitente debe pasar el test antes de que se entregue
al destinatario).

Países como India nutren de mano de obra barata a redes de
ciber-delincuentes, quienes pagan salarios de unos 2,50 € al día para
sortear los controles de seguridad antispam.

Mientras que los métodos tradicionales basados en programas robots
utilizados para sortear los controles de seguridad fueron eficaces en
la identificación de cuentas en un 30 - 35% de los casos, el nuevo
proceso CAPTCHA que implica la intervención de las personas se
encuentra mucho más cerca del 100%. Como resultado, los
ciber-delincuentes han incrementado el número de cuentas que tienen
disponibles para llevar a cabo sus actividades maliciosas.

Trend Micro ha confirmado que uno de los principales proveedores de
correo electrónico gratuito ya ha sido víctima de este método y que una
gran cantidad de cuentas han sido robadas mediante el empleo, por parte
de los ciber-criminales, de grupos de trabajadores dedicados a
quebrantar la seguridad CAPTCHA.

El proceso funciona de la siguiente manera:

• El programa robot visita la página de inscripción y rellena el formulario con datos aleatorios.
• Cuando aparece la verificación CAPTCHA, el programa robot envía el mensaje a un terminal informático ubicado en India.
• Los trabajadores introducen la combinación correcta de letras y números y vuelven a enviar la información al programa robot.
• El programa robot introduce la respuesta y completa el proceso de registro.
• Los creadores de spam ya tienen acceso gratuito a las cuentas de los usuarios.
• La cuenta de correo electrónico comienza a distribuir el spam entre miles de cuentas de correo legítimas.