Cos'è il CAPTCHA e come funziona?

Decifrare lettere strambe, selezionare tutte le immagini con un semaforo, far scorrere un pezzo di puzzle nella sua posizione e tante altre trovate: sempre più spesso dobbiamo superare queste piccole prove digitali altrimenti note come CAPTCHA, come quando registriamo un account, postiamo un commento o inviamo un modulo online.

Ma cosa sono esattamente? E perché esistono? Continua a leggere per scoprire cos'è un CAPTCHA e l'importante ruolo che riveste nell'ambito della sicurezza informatica.

Perché è stato inventato il CAPTCHA?

La storia del CAPTCHA, acronimo di "Completely Automated Public Turing test to tell Computers and Humans Apart" (test di Turing pubblico e completamente automatico per distinguere computer e umani), risale all'inizio di questo secolo e il termine fu coniato nel 2003, quando un gruppo di ricercatori dell'Università Carnegie Mellon lavorava a un certo problema.

In quel periodo, il principale servizio di posta elettronica era Yahoo e stava trovando difficoltà ad arginare lo spam. Mediante programmi informatici, i malintenzionati creavano un gran numero di account email che poi usavano per diffondere messaggi di spam in lungo e in largo.

Con l'intenzione di contribuire a contrastare questo fenomeno, i ricercatori della Carnegie Mellon idearono un test dove gli utenti, per dimostrare di essere persone reali che creavano nuovi account, dovessero interpretare e digitare una sequenza di lettere e numeri di aspetto distorto od offuscato. Yahoo ha rapidamente implementato questa nuova tecnologia per combattere le iscrizioni degli spammer e presto anche altre piattaforme l'hanno seguita.

Quando e perché bisogna risolvere i CAPTCHA

Sebbene il CAPTCHA sia stato originariamente creato per impedire agli spammer di creare un account, da allora è stato applicato anche ad altri contesti. Alla maggior parte degli utenti appare un test CAPTCHA in fase di accesso a un account o di invio di formulari online.

Accesso ad account

Piattaforme come quelle di banche online, posta elettronica e social media richiedono abitualmente agli utenti di completare un CAPTCHA quando accedono ai propri account. Essenzialmente, il CAPTCHA fornisce un ulteriore livello di protezione per il login, assicurando che il tentativo di accesso venga realizzato da una persona e non un robot.

Questo aiuta a prevenire una serie di attacchi di login automatizzato mediante bot, ad esempio gli attacchi di forza bruta in cui i bot provano rapidamente un gran numero di credenziali per individuare quelle corrette e ottenere accesso a un account.

Invio di moduli

È possibile che appaia un CAPTCHA da risolvere anche quando si fa clic sul pulsante "Invia" di un formulario o modulo online come quelli per commenti, richieste di contatto o sondaggi.

Anche in questo caso, la sua funzione è aiutare a bloccare l'attività dei bot. I bot possono avere lo scopo di riempiere di spam la sezione dei commenti di un sito o piattaforma, con messaggi indesiderati o persino link di phishing. Il loro uso può anche essere diretto a falsare o comunque influenzare votazioni, concorsi o sondaggi online, e i CAPTCHA impediscono che accada tutto ciò.

Come funziona il CAPTCHA?

Il test CAPTCHA ha come finalità stabilire se un utente sia una persona reale o un programma informatico, come un bot. I test si presentano in numerose forme, ma hanno sempre lo stesso obiettivo. Ecco un approfondimento su come funzionano esattamente.

Utente o bot? Come fa il test a rilevarlo

I CAPTCHA funzionano essenzialmente in base al principio che certi problemi o rompicapo sono piuttosto facili da risolvere per un essere umano, ma molto impegnativi o pressoché impossibili per i bot. Il test presenta dunque questi rompicapo all'utente, chiedendogli ad esempio di digitare una serie di simboli o di rispondere a un problema matematico relativamente semplice.

Un famoso esempio di CAPTCHA è quello di una sequenza di lettere e numeri di apparenza in qualche modo distorta. Ad esempio, potrebbero sembrare scarabocchiati sullo schermo con angolazioni casuali, oppure oscurati da altri colori o elementi visivi. Se le persone possono leggere e replicare queste sequenze abbastanza facilmente, la maggior parte dei bot non è in grado di rilevarle e interpretarle.

Insomma, se l'utente è in grado di superare il test, dimostra al sistema di essere con elevata probabilità un essere umano.

Dietro le quinte: logica dei server e fattori scatenanti

Fortunatamente, non è sempre necessario risolvere un CAPTCHA in fase di accesso a un account, di inserimento di informazioni all'interno di formulari, di esecuzione di acquisti online e quant'altro. Molti CAPTCHA appaiono solo in specifiche circostanze, quando i server dei siti web rilevano segnali di comportamento insolito o possibilmente sospetto come i seguenti:

Anomalie dell'indirizzo IP

I siti web possono richiederti la risoluzione di un CAPTCHA se notano che stai usando un IP sospetto, condiviso o un indirizzo IP proxy. Questa condizione può riguardare anche gli utenti delle VPN, in quanto sono servizi che mascherano l'indirizzo IP reale dell'utente con uno proprio.

Se un sito nota che il tuo indirizzo IP cambia improvvisamente o riceve un gran numero di richieste da utenti che stanno condividendo lo stesso IP, potrebbe considerarlo sospetto. Infatti, di frequente i bot si nascondono dietro a proxy o VPN per condurre le loro attività con discrezione.

Se con la tua VPN si presenta spesso questo problema, effettuare un cambio di server potrebbe migliorare l'esperienza. Inoltre, puoi provare a cancellare la cronologia o la cache del browser, usarne un altro o richiedere un indirizzo IP dedicato al tuo provider di VPN.

Comportamento sospetto del browser

I CAPTCHA possono apparire anche quando un sito rileva un comportamento sospetto da parte dell'utente o segnali di attività simili a quelle di un bot. Ad esempio, questo può accadere se l'utente compila moduli molto rapidamente, clicca su pulsanti in modo altamente preciso e sistematico o invia molteplici richieste consecutive a un server.

Sono tutti potenziali segnali di comportamento riconducibile a un bot e i CAPTCHA servono proprio a rallentarne o bloccarne l'attività. Questo sistema può contribuire ad arginare le truffe basate sui bot in settori come l'e-commerce, dove intere reti di bot possono utilizzarsi per acquistare un gran numero di biglietti per eventi o prodotti in edizione limitata, che poi i malfattori rivenderanno a prezzi più elevati con enormi benefici.

Improvvisi picchi di traffico

Alcuni attacchi informatici, come gli attacchi DDoS (Distributed Denial of Service), prevedono l'uso di botnet per inondare un sito web con un sacco di richieste inviate contemporaneamente. I CAPTCHA possono agire da strumenti di mitigazione degli attacchi DDoS, attivandosi automaticamente qualora un sito rilevi un incremento improvviso e inatteso del traffico.

Tipi di CAPTCHA

I CAPTCHA sono nati come test semplicemente testuali, ma nel corso degli anni si sono evoluti assumendo numerose altre forme e incorporando audio, immagini e altri elementi.

CAPTCHA basato su testo

Il test CAPTCHA originario è basato su testo: utilizza parole, frasi o sequenze casuali di lettere e numeri che vengono in qualche modo distorte o visualizzate in modo che per i bot siano difficili da leggere.

I CAPTCHA basati su testo si possono creare in diversi modi, come con la tecnica Gimpy, che seleziona parole a caso da un dizionario, o la tecnica HIP di Simard, che prende lettere e numeri casuali e li distorce con archi e colori insoliti. Per superare il test, l'utente deve semplicemente leggere il testo e digitarlo nell'apposita casella.

Tuttavia, per quanto risulti ancora probabile che di tanto in tanto ci si imbatta in CAPTCHA basati sulla distorsione del testo, una ricerca di Google del 2014 ha mostrato che sono ormai inefficaci per distinguere gli umani dai bot. I ricercatori di Google hanno applicato algoritmi avanzati di apprendimento automatico alle tipologie di CAPTCHA con testo distorto comunemente usati online, ottenendo risultati sorprendenti: un'accuratezza superiore al 99%, il loro sistema è stato in grado di risolvere i CAPTCHA con le maggiori distorsioni del testo. In confronto, le percentuali di successo umano si aggiravano intorno al 33%, in gran parte a causa della crescente complessità della distorsione, la quale rendeva i test molto frustranti per gli utenti reali.

CAPTCHA basato su immagini (reCAPTCHA v2)

Questi test CAPTCHA presentano all'utente delle immagini, con l'invito a selezionare quelle che corrispondono alla descrizione oppure che non sono affini alle altre come tematica. Come esempi noti si trovano la richiesta di cliccare su tutte le immagini di una serie che contengano strisce pedonali o idranti, oppure su specifici riquadri di un'immagine più grande.

I CAPTCHA basati su immagini sono stati progettati per sostituire quelli basati su testo e così è avvenuto su molte piattaforme. Molti utenti li trovano più facili da capire e risolvere.

Si ritiene inoltre che per i bot siano più difficili da risolvere, in quanto implicano sia la comprensione semantica che il riconoscimento di immagini.

CAPTCHA con audio

Questi test CAPTCHA prevedono la riproduzione di un breve file audio, spesso con una voce che legge una serie di lettere o numeri che l'utente dovrà riportare in una casella di testo. Di frequente, l'audio presenta anche un certo livello di rumore di fondo, in modo da renderne difficile la comprensione ai bot.

I CAPTCHA con audio sono meno comuni rispetto alle varianti basate su testo e immagini, ma rappresentano un'alternativa utile per le persone con problemi alla vista.

Problemi matematici e di logica

Alcuni CAPTCHA pongono all'utente semplici problemi matematici o di logica. Potrebbero ad esempio chiedere di inserire una parola mancante in una frase, di risolvere un'addizione numerica o di far scorrere un pezzo di puzzle nella giusta posizione.

Anche in questo caso, si tratta generalmente di rompicapo molto semplici da risolvere per la persona media, ma di difficile comprensione per i programmi informatici. In base alla risposta dell'utente, questi CAPTCHA sono in grado di distinguere con precisione tra un umano e un bot.

No CAPTCHA reCAPTCHA

Il "No CAPTCHA reCAPTCHA" è una forma molto semplice di CAPTCHA introdotta da Google nel 2014, che semplicemente richiede all'utente di fare clic su una casella accanto al messaggio "Non sono un robot".

Sia i bot che gli umani sono in grado di fare un clic su una casella, tuttavia i bot non potranno praticamente evitare di cliccare al centro, mentre gli esseri umani tendono a essere meno prevedibili, con leggere variazioni nella posizione, nei tempi e nei movimenti che precedono il clic. In base a questi fattori (movimento del mouse, tempistiche, caratteristiche dei clic, comportamenti di scorrimento ecc.), il CAPTCHA può formulare una fondata supposizione circa la vera natura dell'utente.

Se l'interazione appare in qualche modo sospetta, il sistema sottoporrà all'utente un altro test CAPTCHA di verifica.

CAPTCHA invisibile (reCAPTCHA v3)

Come suggerisce il nome, l'utente non può vedere i CAPTCHA invisibili. Non richiedono un'interazione diretta né la risoluzione di un particolare problema o rompicapo: eseguiti in background, tracciano l'attività di un utente e ne compiono una valutazione in base alle sue azioni.

Il punteggio assegnato si basa sulle interazioni tra l'utente e il sito, anche se Google non ha rivelato molto sulle esatte modalità di calcolo utilizzate.

Diverse fonti affermano che il sistema prevede la raccolta e l'elaborazione di elementi dei dati dell'utente, che possono includere l'indirizzo IP, i movimenti del mouse, gli input della tastiera, il browser e il sistema operativo in uso.

Trattandosi di informazioni potenzialmente sensibili, nel 2023 l'autorità francese per la protezione dei dati (CNIL) ha multato NS Cards France per €105.000 a seguito di un'indagine che ha riscontrato come questo fornitore di soluzioni di pagamento online utilizzasse la tecnologia reCAPTCHA di Google senza informare gli utenti che i dati del dispositivo e dell'applicazione sarebbero stati raccolti e inviati a Google per l'analisi.

Honeypot CAPTCHA

Una maniera semplice per capire cos'è un honeypot CAPTCHA è considerarlo come una trappola per bot. Questi test CAPTCHA sono invisibili agli esseri umani ma visibili ai bot, che li rilevano come campi vuoti all'interno di moduli e formulari. Di conseguenza, tentano un'interazione con quel campo, cosa che gli utenti reali non farebbero, non potendo proprio visualizzarlo.

Moduli basati sul tempo

I CAPTCHA basati sul tempo cercano di distinguere gli esseri umani dai bot cronometrando il tempo necessario per compilare un modulo o per inserire dati in un campo. Siccome i bot tendono a eseguire queste azioni molto più velocemente degli utenti umani, se il CAPTCHA rileva una risposta anormale per la sua rapidità, tenderà a ritenere che l'utente sia un bot.

CAPTCHA e IA: cos'è il test di Turing?

Come già citato in precedenza, CAPTCHA è l'acronimo dell'espressione inglese traducibile come "test di Turing pubblico e completamente automatico per distinguere computer e umani". Creato dal matematico, informatico e filosofo britannico Alan Turing nel 1949, il test di Turing (chiamato anche "gioco dell'imitazione") è un metodo per verificare la capacità di una macchina di comportarsi come gli esseri umani.

Il concetto originale di Turing per il test prevedeva tre terminali distinti: uno gestito da un computer e due da esseri umani. Un umano pone le domande, mentre l'altro umano e il computer forniscono le risposte. In base alle risposte ottenute, l'interrogante deve stabilire quale sia la macchina.

Il CAPTCHA funziona secondo un principio simile, in quanto presenta una sfida e ne valuta la risposta per definire se provenga da un essere umano o da un bot. La differenza principale risiede nel fatto che nel CAPTCHA il ruolo di valutatore è svolto da un software anziché da una persona.

Applicazioni IA reali derivanti dai dati dei CAPTCHA

Aziende come Google utilizzano da anni i test CAPTCHA per addestrare i modelli di intelligenza artificiale e migliorare i sistemi di apprendimento automatico. Raccogliendo dati basati sulle modalità di risposta degli utenti a diversi rompicapo e problemi CAPTCHA e inserendoli poi nei sistemi IA, ne migliorano la comprensione semantica, il riconoscimento delle immagini e altre capacità.

Uno dei primi esempi più comuni di test CAPTCHA era un CAPTCHA testuale che richiedeva agli utenti di digitare una sequenza di due parole. All'insaputa della persona, una delle parole era un'immagine di una parola estratta da un libro reale, fisico. Ogni volta che l'utente completava un CAPTCHA digitando le parole sottoposte dal sistema, in realtà stava aiutando a trascrivere e digitalizzare libri e documenti fisici. Questo processo ha contribuito a digitalizzare l'intero archivio di Google Libri, insieme a milioni di vecchi articoli del New York Times.

Con l'emergere della tecnologia di IA e apprendimento automatico nonché con la diffusione dei CAPTCHA basati su immagini, Google se n'è inventata un'altra.

Ha iniziato a destinare la raccolta dei dati dei test CAPTCHA completati dagli utenti al miglioramento del riconoscimento delle immagini da parte dell'IA. Ad esempio, se un CAPTCHA presentava una serie di immagini differenti e richiedeva all'utente di selezionare quelle contenenti automobili, Google inseriva poi questi dati nei suoi modelli di apprendimento automatico al fine di migliorare l'IA nell'individuazione di auto all'interno di fotografie.

Le medesime tecniche e tecnologie sono state impiegate anche per migliorare i risultati di Google Maps (ad esempio, ottimizzando la capacità dell'algoritmo di leggere le indicazioni dei numeri civici), per fornire i risultati delle ricerche di immagini su Google e anche per consentire agli utenti di cercare immagini contenenti oggetti o elementi specifici all'interno delle proprie librerie di Google Foto. Tutto ciò è stato integrato anche nelle auto a guida autonoma, per favorirne l'individuazione e identificazione dei segnali stradali.

Pro e contro dei CAPTCHA

Il CAPTCHA comporta sia vantaggi che svantaggi per i comuni utenti e i proprietari di siti.

Vantaggi per proprietari di siti

I proprietari di siti web traggono grandi vantaggi dall'implementazione della tecnologia CAPTCHA, considerato che li aiuta a bloccare le attività dei bot, lo spam e gli account falsi, a prevenire le frodi e a evitare altri inconvenienti. I CAPTCHA possono anche trasmettere credibilità, facendo sì che un sito appaia più sicuro.

Problemi di usabilità e accessibilità

Molte persone trovano fastidiosi i CAPTCHA, poiché spesso impediscono loro di accedere ai siti o ai contenuti che desiderano. Non ne sempre comprendono la necessità e questo può aumentare la loro frustrazione. Inoltre, alcuni utenti, in particolare quelli con problemi di vista o di altro genere, possono trovare alcuni tipi di test CAPTCHA particolarmente difficili da risolvere.

Impatto negativo sulle conversioni

Poiché la risoluzione CAPTCHA richiede all'utente tempo e impegno, la loro presenza può generare un impatto negativo sui tassi di conversione dei siti web che li implementano, ostacolando la realizzazione di vendite, la generazione di lead e l'acquisizione di clienti.

Uno studio del 2010 dell'Università di Stanford ha svelato che alcuni tipi di CAPTCHA (in particolare quelli con audio) erano secondo i partecipanti così frustranti che rinunciavano a risolverli nel 50% dei casi.

Alternative al CAPTCHA

Considerati i notevoli svantaggi dei CAPTCHA, i proprietari di siti web potrebbero voler considerare altri mezzi per proteggere i loro siti e bloccare i bot.

CAPTCHA del login via social

I pulsanti per l'accesso mediante gli account di social media sono una forma sempre più diffusa e affidabile per la protezione di un sito web contro i bot. Questi pulsanti appaiono spesso quando gli utenti vogliono accedere a una piattaforma o a un contenuto, chiedendo all'utente di registrarsi con il proprio account social di piattaforme come Google o Facebook.

Poiché ai bot la creazione di singoli profili sui social media richiede molto tempo e sforzo, il pulsante di login via social può rivelarsi un prezioso alleato per prevenire frodi, spam e truffe.

Il lato negativo è che l'accesso tramite social media può essere visti come una forma di violazione della privacy. Alcuni utenti non desiderano utilizzare il proprio profilo social in tal modo, rivelando la propria identità per accedere a determinati siti o piattaforme.

Analisi comportamentale

Gli strumenti di analisi comportamentale tracciano i pattern di comportamento degli utenti cercando segnali di sospetta attività bot.

Ad esempio, sono in grado di vedere come un utente si comporta su tale sito, esaminando fattori come la posizione del cursore del mouse e la frequenza dei clic su un pulsante o della pressione di un tasto. Possono anche tracciare i movimenti di un utente tra le pagine di un sito e vedere quanto tempo impiega a completare determinate azioni.

I bot tendono a fare tutte queste cose in modo molto rapido, preciso e sistematico, mentre gli esseri umani possono impiegare più tempo o agire in modo più casuale e imprevedibile. Questo aiuta gli strumenti di analisi a distinguere i bot dalle persone.

Autenticazione a più fattori (MFA)

La MFA e l'autenticazione a due fattori (2FA) sono strumenti utili per impedire ai bot di creare account o accedere a quelli degli utenti. Fornisce un ulteriore livello di sicurezza per il login, richiedendo all'utente di inserire una passkey o di utilizzare la biometria per accedere al proprio account, cosa che i bot non sono in grado di fare.