O que é CAPTCHA e como funciona?

Decifrar letras onduladas, tocar em cada imagem com um semáforo ou encaixar uma peça de quebra-cabeça no lugar certo… Cada vez mais, temos que resolver esses pequenos desafios digitais, também conhecidos como CAPTCHAs, ao registrar contas, publicar comentários ou enviar formulários online.

Mas o que são exatamente? E por que existem? Continue lendo para descobrir o significado de CAPTCHA e o importante papel que ele desempenha na segurança cibernética.

Por que o CAPTCHA foi inventado?

A história do CAPTCHA, que significa "Teste de Turing Público Completamente Automatizado para Diferenciar Computadores e Humanos”, remonta ao início do século XXI. O termo foi cunhado em 2003 por um grupo de pesquisadores da Universidade Carnegie Mellon para resolver um problema específico.

Nessa época, o Yahoo, um dos principais serviços de e-mail, enfrentava problemas com spammers. Usuários maliciosos utilizavam programas de computador para criar um grande número de contas de e-mail e as usavam indevidamente para distribuir mensagens de spam em larga escala.

Pesquisadores da Carnegie Mellon queriam ajudar e, por isso, desenvolveram um teste no qual os usuários precisavam interpretar e digitar uma série de letras e números rabiscados para provar que eram pessoas reais ao criar novas contas. O Yahoo implementou rapidamente essa nova tecnologia para combater cadastros de spam, e outras plataformas logo seguiram o exemplo.

Quando e por que você vê testes CAPTCHA

Embora o CAPTCHA tenha sido originalmente criado para impedir que spammers criassem contas por e-mail, ele passou a ter diversas outras aplicações. A maioria de nós se depara com testes CAPTCHA ao fazer login em contas ou enviar formulários online.

Ao fazer login em contas

Muitas plataformas, como bancos online, contas de e-mail e redes sociais, solicitam rotineiramente que os usuários completem um CAPTCHA ao acessar seus perfis. O CAPTCHA essencialmente fornece uma camada extra de proteção ao login, garantindo que um usuário humano real esteja tentando acessar a conta, e não um robô.

Isso ajuda a prevenir uma série de ataques de login automatizados baseados em bots, como ataques de força bruta, nos quais os bots testam rapidamente um grande número de credenciais de usuário para encontrar as corretas e acessar uma conta.

Ao enviar formulários

Você também pode encontrar um CAPTCHA ao clicar no botão "Enviar” em um formulário online, como uma página de envio de comentários, um formulário de contato ou uma pesquisa.

Isso, novamente, ajuda a impedir a atividade de bots. Bots podem ser usados para fazer spam em seções de comentários com mensagens indesejadas ou até mesmo links de phishing. Eles também poderiam ser usados ​​para distorcer ou influenciar pesquisas, concursos ou enquetes online. Os CAPTCHAs impedem que isso aconteça.

Como o CAPTCHA funciona?

O objetivo de qualquer teste CAPTCHA é discernir se um usuário é uma pessoa real ou um programa de computador, como um bot. Os testes vêm em diversos formatos, mas todos têm o mesmo objetivo final. Veja a seguir como isso funciona na prática.

Usuário x bot: como o teste identifica você

Os CAPTCHAs funcionam essencialmente com base no princípio de que existem certos problemas ou quebra-cabeças que são bastante fáceis para humanos, mas muito desafiadores ou quase impossíveis para bots resolverem. Em seguida, apresentam esses quebra-cabeças ao usuário, como pedir que ele digite uma série de símbolos ou responda a um problema matemático relativamente simples.

Um exemplo famoso de CAPTCHA é quando você vê uma sequência de letras e números distorcidos de alguma forma. Eles podem parecer rabiscados na tela em ângulos aleatórios, por exemplo, ou estarem obscurecidos por cores e elementos visuais. Enquanto humanos conseguem ler e repetir essas sequências com bastante facilidade, a maioria dos bots não consegue.

Portanto, se o usuário conseguir passar no teste, isso basicamente prova ao sistema que ele é, muito provavelmente, um humano.

Nos bastidores: lógica do servidor e gatilhos

Felizmente, nem sempre é preciso solucionar CAPTCHAs ao acessar contas, preencher formulários, fazer compras online e assim por diante. Muitos deles só aparecem em circunstâncias específicas, quando os servidores dos sites detectam sinais de comportamento incomum ou possivelmente suspeito, como:

Anomalias de endereço IP

Alguns sites podem solicitar que você complete um CAPTCHA se detectarem que você está usando um endereço IP suspeito, compartilhado ou um endereço IP de proxy. Isso também pode afetar usuários de VPN, já que uma VPN mascara seu endereço IP real com um IP próprio.

Se um site notar uma mudança repentina no seu endereço IP ou receber um grande número de solicitações de usuários com o mesmo IP, tal fato pode ser considerado suspeito. Isso ocorre porque os bots costumam se esconder atrás de proxies ou VPNs para realizar suas atividades discretamente.

Se você estiver enfrentando esse problema frequentemente com sua VPN, trocar de servidor pode ajudar. Você também pode tentar limpar o histórico ou o cache do navegador, obter um endereço IP dedicado ou trocar de navegador.

Comportamento suspeito do navegador

Os CAPTCHAs também podem aparecer se um site detectar que um usuário está se comportando de forma suspeita ou apresentando sinais de atividade semelhante à de um bot. Isso pode acontecer se o usuário estiver preenchendo formulários muito rapidamente, clicando em botões de maneira muito calculada e precisa ou enviando várias solicitações sucessivas a um servidor.

Todos esses são sinais potenciais de comportamento de bot, e os CAPTCHAs podem ser implementados para retardar ou impedir o bot. Isso pode ajudar a impedir golpes baseados em bots em áreas como e-commerce, como redes de bots sendo usadas para comprar grandes quantidades de ingressos para eventos ou produtos de edição limitada para que os golpistas os revendam a preços mais altos.

Picos de tráfego repentinos

Alguns tipos de ciberataques envolvem o uso de botnets para inundar um site com muitas solicitações simultaneamente, como os ataques de negação de serviço distribuída (DDoS). Os CAPTCHAs podem servir como ferramentas de mitigação de DDoS, sendo acionados automaticamente se um site detectar um aumento repentino e inesperado no tráfego.

Tipos de CAPTCHA

Os CAPTCHAs começaram como testes simples baseados em texto, mas evoluíram ao longo dos anos para inúmeras formas, incorporando áudio, imagens e outros elementos.

CAPTCHA baseado em texto

O teste CAPTCHA original, um CAPTCHA baseado em texto, usa palavras, frases ou sequências aleatórias de letras e números, que são distorcidas de alguma forma ou exibidas de maneira a dificultar a leitura por bots.

Diferentes técnicas são usadas para criar CAPTCHAs baseados em texto, como a técnica Gimpy, que envolve a seleção aleatória de palavras de um dicionário, ou a HIP de Simard, que seleciona letras e números aleatórios e os distorce com arcos e cores incomuns. O usuário simplesmente precisa ler o texto e digitá-lo na caixa fornecida para resolver o teste.

No entanto, embora ainda seja provável encontrar ocasionalmente CAPTCHAs baseados em distorção de texto, uma pesquisa do Google realizada em 2014 revelou o quão ineficazes eles se tornaram para distinguir humanos de bots. Os pesquisadores de IA do Google aplicaram algoritmos avançados de aprendizado de máquina aos tipos de CAPTCHAs com texto distorcido comumente usados ​​online. Os resultados foram impressionantes: o sistema conseguiu resolver os CAPTCHAs mais distorcidos com mais de 99% de precisão. Em comparação, as taxas de sucesso humanas giravam em torno de 33%, principalmente devido à crescente complexidade, o que os torna frustrantes para usuários reais.

CAPTCHA baseado em imagem (reCAPTCHA v2)

Esses CAPTCHAs apresentam imagens ao usuário e o instruem a clicar naquelas que correspondem a um tema específico ou selecionar aquelas que não se encaixam no conjunto. Exemplos conhecidos incluem ter que clicar em todas as imagens de uma série que contenham faixas de pedestres ou hidrantes, ou ser solicitado a clicar em quadrados específicos de uma imagem maior.

Os CAPTCHAs baseados em imagens foram projetados para substituir os CAPTCHAs baseados em texto e têm feito isso em muitas plataformas, com alguns usuários os considerando mais fáceis de entender e resolver.

Acredita-se também que eles sejam mais difíceis para os bots resolverem, devido ao fato de envolverem tanto a compreensão semântica quanto o reconhecimento de imagem.

CAPTCHA baseado em áudio

Os testes CAPTCHA baseados em áudio reproduzem um pequeno arquivo de som, geralmente com uma voz lendo uma série de letras ou números. O usuário então precisa digitar o que ouviu em uma caixa de texto. Frequentemente, o áudio também apresenta algum nível de ruído de fundo, o que dificulta a compreensão do que está sendo dito pelos bots.

Os CAPTCHAs baseados em áudio são menos comuns do que as variantes baseadas em texto e imagem, mas oferecem uma alternativa útil para pessoas com deficiência visual.

Quebra-cabeças de matemática e lógica

Alguns CAPTCHAs apresentam problemas simples de matemática ou lógica ao usuário. Eles podem pedir que você insira uma palavra que falta em uma frase, resolva um problema de adição ou deslize uma peça de quebra-cabeça para a posição correta, por exemplo.

Novamente, esses quebra-cabeças geralmente são muito simples para a pessoa comum, mas os programas de computador podem ter dificuldades para entender o que está sendo solicitado. Com base na resposta do usuário, o CAPTCHA pode discernir com precisão entre um humano e um robô.

No CAPTCHA reCAPTCHA

O No CAPTCHA reCAPTCHA é uma forma muito simples de CAPTCHA que foi introduzida pelo Google em 2014. Ele simplesmente pede ao usuário que clique em uma caixa ao lado da mensagem "Não sou um robô”.

Tanto bots quanto humanos são capazes de clicar na caixa. No entanto, os bots quase sempre clicarão exatamente no centro, enquanto os humanos tendem a ser menos previsíveis, com pequenas variações de posição, tempo e movimento antes do clique. Com base nesses fatores (movimento do mouse, tempo, características do clique, comportamento de rolagem, etc.), o CAPTCHA pode fazer uma suposição fundamentada sobre a verdadeira natureza do usuário.

Se a interação parecer suspeita de alguma forma, um teste CAPTCHA subsequente será aplicado.

CAPTCHA invisível (reCAPTCHA v3)

Como o nome sugere, você não consegue ver os CAPTCHAs invisíveis, nem precisa interagir diretamente com eles ou resolver qualquer enigma específico. Eles funcionam em segundo plano, rastreando a atividade do usuário e atribuindo uma classificação com base em suas ações.

A pontuação é baseada nas interações entre os usuários e o site, embora o Google não tenha revelado muitas informações sobre como, exatamente, cada pontuação é calculada.

No entanto, diversas fontes afirmam que o sistema envolve a coleta e o processamento de elementos de dados do usuário, que podem incluir o endereço IP do visitante, movimentos do mouse e teclas digitadas, além do navegador e do sistema operacional que ele está utilizando.

Por exemplo, em 2023, a autoridade francesa de proteção de dados, CNIL, multou a NS Cards France em € 105.000 (aproximadamente R$ 680.000) após uma investigação que revelou que essa provedora de soluções de pagamento online utilizava a tecnologia reCAPTCHA do Google sem informar os usuários de que os dados de seus dispositivos e aplicativos seriam coletados e enviados ao Google para análise.

CAPTCHA honeypot

Uma maneira simples de entender um CAPTCHA honeypot é como uma armadilha para bots. Esses testes CAPTCHA são invisíveis para humanos, mas visíveis para bots. Os bots os veem como campos vazios em formulários e frequentemente tentam interagir com eles e preenchê-los, algo que usuários humanos reais não fariam, já que não conseguem ver os campos.

Formulários baseados em tempo

Os CAPTCHAs baseados em tempo tentam diferenciar humanos de bots cronometrando quanto tempo levam para preencher um formulário ou inserir dados em um campo. Bots tendem a executar essas ações muito mais rapidamente do que usuários humanos. Portanto, se o CAPTCHA detectar uma resposta anormalmente rápida, tenderá a presumir que o usuário seja um bot.

CAPTCHA e IA: o que é o teste de Turing?

Como mencionado anteriormente, CAPTCHA significa "Teste de Turing Público Completamente Automatizado para Diferenciar Computadores e Humanos”. O teste de Turing, ou jogo da imitação, é uma forma de testar a capacidade de uma máquina se comportar como humanos. Ele foi criado pelo matemático, cientista da computação e filósofo britânico Alan Turing em 1949.

O conceito original de Turing para o teste envolvia três terminais separados: um operado por um computador e dois por humanos. Um humano fazia as perguntas, enquanto o outro humano e o computador forneciam as respostas. Com base nas respostas, o entrevistador deveria determinar qual era a máquina.

O CAPTCHA funciona com um princípio similar. Ele apresenta um desafio e avalia a resposta para determinar se ela foi fornecida por um humano ou por um robô. A principal diferença é que, no CAPTCHA, a função de avaliação é desempenhada por um software, e não por uma pessoa.

Aplicações práticas de IA a partir de dados CAPTCHA

Empresas como o Google utilizam testes CAPTCHA para treinar modelos de IA e aprimorar o aprendizado de máquina há anos. Elas coletam dados com base em como os usuários respondem a diferentes quebra-cabeças e problemas CAPTCHA e, em seguida, alimentam sistemas de inteligência artificial com esses dados, aprimorando sua compreensão semântica, reconhecimento de imagem e outras capacidades.

Um dos exemplos mais comuns de testes CAPTCHA no início era um CAPTCHA baseado em texto que pedia aos usuários que digitassem uma sequência de duas palavras. Sem que a pessoa que o resolvia soubesse, uma das palavras era a imagem de uma palavra de um livro físico real. Cada vez que um usuário completava um CAPTCHA digitando as duas palavras, ele estava, na verdade, ajudando a transcrever e digitalizar livros e documentos físicos. Esse processo ajudou a digitalizar todo o arquivo do Google Livros, juntamente com milhões de artigos antigos do New York Times.

Com o surgimento da tecnologia de aprendizado de máquina e IA, e a crescente popularidade dos CAPTCHAs baseados em imagens, o Google teve outra ideia.

A empresa coletou dados de testes CAPTCHA concluídos para aprimorar o reconhecimento de imagens por IA. Por exemplo, um CAPTCHA poderia apresentar aos usuários diversas imagens e pedir que clicassem naquelas que continham carros. O Google poderia então alimentar seus modelos de aprendizado de máquina com esses dados para ajudar a IA a identificar carros com mais precisão em fotografias.

Essa mesma tecnologia também tem sido usada para aprimorar os resultados do Google Maps (por exemplo, melhorando a capacidade do algoritmo de ler placas com números de casas), fornecer resultados da Busca de Imagens do Google e até mesmo permitir que os usuários pesquisem em suas bibliotecas do Google Fotos por imagens que contenham itens ou elementos específicos. Ela está sendo incorporada até mesmo em carros autônomos, ajudando-os a identificar placas de rua.

Prós e contras do CAPTCHA

O CAPTCHA traz benefícios e desvantagens para usuários comuns e proprietários de sites.

Benefícios para proprietários de sites

Os proprietários de sites se beneficiam amplamente da implementação da tecnologia CAPTCHA. Ela os ajuda a bloquear atividades de bots, impedir spam e contas falsas, prevenir fraudes e muito mais. Os CAPTCHAs também podem ser vistos como um sinal de credibilidade, fazendo com que um site pareça mais seguro.

Problemas de usabilidade e acessibilidade

Muitas pessoas consideram os CAPTCHAs irritantes ou inconvenientes, pois frequentemente atrasam o acesso a sites ou conteúdos desejados. Nem sempre as pessoas compreendem a necessidade dos CAPTCHAs, o que pode aumentar a sua frustração — e alguns usuários, particularmente aqueles com deficiência visual ou outros problemas, podem ter dificuldades especiais em resolver certos tipos de testes CAPTCHA.

Impacto negativo nas conversões

Como os CAPTCHAs exigem tempo e esforço para ser concluídos, eles podem impactar negativamente as taxas de conversão do site, dificultando a realização de vendas, a geração de leads e a conquista de clientes.

Um estudo da Universidade de Stanford realizado em 2010 revelou que certos tipos de CAPTCHAs (CAPTCHAs baseados em áudio em particular) eram tão frustrantes para os participantes em seus testes que eles desistiam de resolvê-los em 50% dos casos.

Alternativas ao CAPTCHA

Considerando as desvantagens notáveis ​​dos CAPTCHAs, os proprietários de sites podem querer considerar meios alternativos para proteger seus sites e bloquear bots.

CAPTCHA de login social

Os botões de login social são uma forma cada vez mais popular e segura de proteção contra bots e segurança de sites. Esses botões geralmente aparecem quando os usuários desejam acessar uma plataforma ou conteúdo, solicitando que façam login com uma conta social em plataformas como Google ou Facebook.

Como a criação de perfis individuais em redes sociais para bots demanda muito tempo e esforço, o botão de login social pode ser extremamente útil na prevenção de fraudes, spam e atividades fraudulentas.

Por outro lado, os logins sociais podem ser vistos como uma forma de violação de privacidade. Alguns usuários não querem necessariamente fazer login em seus perfis sociais e, basicamente, revelar sua identidade ao acessar determinados sites ou plataformas.

Análise comportamental

As ferramentas de análise comportamental rastreiam padrões de comportamento do usuário e procuram sinais suspeitos de atividade de bots.

Por exemplo, elas conseguem ver como um usuário se comporta em um site, como para onde ele move o cursor do mouse e com que frequência clica em um botão ou pressiona uma tecla. E também podem rastrear os movimentos de um usuário em um site e ver quanto tempo ele leva para concluir determinadas ações.

Os bots tendem a realizar todas essas ações de maneira muito rápida, calculada e precisa, enquanto os humanos podem levar mais tempo ou parecer mais aleatórios e imprevisíveis. Isso ajuda as ferramentas analíticas a diferenciar bots de pessoas.

Autenticação multifator (MFA)

A MFA e a autenticação de dois fatores (2FA) são ferramentas úteis para impedir que bots criem e acessem contas de usuários. Elas fornecem uma camada extra de segurança no login, solicitando ao usuário que insira uma senha ou utilize biometria para acessar sua conta, algo que os bots não conseguem fazer.