Captcha
I CAPTCHA come li conosciamo sono comparsi sui nostri schermi 26 anni fa. Sebbene da allora si siano evoluti parecchio, l’idea di base è sempre stata la stessa: presentare agli utenti un compito rapido che un essere umano può risolvere in due secondi ma che un computer non può.
Tutto è iniziato con testo distorto, problemi di matematica e brevi clip audio. Poi venne l’era dell’avvistamento di idranti antincendio, semafori e motocicli, una fase che sembrava destinata a durare per sempre. Ma a quanto pare, i moderni LLM possono risolvere questi enigmi visivi molto più velocemente e con più precisione di quanto potrebbe mai fare qualsiasi essere umano.
Ecco uno sguardo a come questi test “sei un essere umano?” sono cambiati e cosa significa per la sicurezza.
La fine dell’era del clic sulle immagini
Nel 2007 Google ha lanciato reCAPTCHA e otto anni dopo ha aggiunto un test che chiedeva agli utenti di selezionare tutte le immagini che corrispondono a un prompt specifico. Proprio così, milioni di utenti Internet sono diventati inavvertitamente esperti nell’identificazione di semafori, biciclette, tetti, ponti e idranti. Naturalmente, i bot IA hanno imparato da tempo a risolvere questi enigmi.
Ecco perché a giugno 2026 Google ha iniziato a testare un modo nuovo di zecca per verificare se sei umano. Al posto delle solite immagini, ora ad alcuni utenti viene chiesto di registrare un breve video che mostra i gesti delle mani. Gli algoritmi analizzano il metraggio, tracciando 21 punti chiave nelle articolazioni della mano e delle dita. Monitorando il movimento della mano, il sistema è in grado di capire se si tratta di un vero essere umano o di un bot. Superare questo nuovo tipo di CAPTCHA significa concedere l’accesso alla telecamera, cosa che può essere considerata un campanello d’allarme per chiunque sia preoccupato per la sicurezza e la privacy. Inoltre, i ricercatori della sicurezza affermano di aver già scoperto una scappatoia nel CAPTCHA sperimentale basato sui gesti della mano di Google, dimostrando che può essere ingannato utilizzando nient’altro che la foto della mano.
Tuttavia, Google insiste che questi video non sono mai collegati alla tua identità personale e che non viene registrato alcun audio. Il loro criterio di sicurezza afferma inoltre che Google elimina tutti i dati non appena la verifica è completata. Come sempre, decidere di fidarsi di Google dipende interamente da te. Vorremmo solo indirizzarti al nostro post Farsi un selfie con la carta d’identità è sicuro?, in cui analizziamo i rischi esatti della verifica biometrica utilizzando le foto formato tessera come esempio.
Quali sono le alternative a reCAPTCHA?
Sebbene reCAPTCHA di Google sia ancora il re incontrastato dei bot di blocco, l’IA sta costringendo il mondo ad adattarsi e i CAPTCHA tradizionali stanno diventando un ricordo del passato. Di seguito viene fornita una rapida suddivisione dei servizi alternativi e dei metodi di blocco dei bot dal punto di vista della sicurezza.
Sistemi di analisi del comportamento
Uno dei modi più avanzati per proteggere un sito Web da sciami di bot è un sistema di analisi del comportamento. Questo metodo valuta automaticamente ogni singolo visitatore monitorando i movimenti del mouse, i modelli di clic e le impronte digitali per individuare il comportamento umano. Ma anche questa non è una soluzione ottimale contro i bot; i loro operatori possono semplicemente addestrarli a imitare i modelli comportamentali naturali, consentendo ai bot di aggirare facilmente questo tipo di difesa sempre.
Per gli utenti, questa non è esattamente un’ottima notizia in termini di privacy. Dopotutto, nessuno vuole che ogni sito Web Internet raccolga le specifiche del proprio dispositivo e tenga traccia del comportamento. Detto questo, non si può nemmeno definirla sorveglianza in piena regola, poiché la maggior parte di questi sistemi non sta cercando di capire chi sei effettivamente e i loro creatori promettono che non archivieranno i tuoi dati o li utilizzeranno a scopi di marketing. L’obiettivo principale qui è rigorosamente capire chi è appena arrivato sulla pagina: un essere umano o un bot.
Turnstile e hCaptcha
Un altro importante concorrente di reCAPTCHA è Cloudflare Turnstile. Gestisce la verifica in due modi: completamente in background o limitando l’azione dell’utente. Non è necessario fare nulla o semplicemente selezionare una casella che dice “Non sono un robot”. Il rischio principale per gli utenti in questo caso è riconducibile a tecniche di social engineering. Gli hacker utilizzano spesso CAPTCHA dall’aspetto legittimo nei siti di phishing. Questo induce gli utenti in un falso senso di sicurezza e impedisce agli scanner di sicurezza di segnalare le pagine dannose.
Poi c’è hCaptcha, un servizio fortemente incentrato sulla sicurezza e, a differenza di reCAPTCHA e Turnstile, non è di proprietà di un gigante della tecnologia.
Passkey
In generale, ogni metodo e servizio menzionato finora segue lo stesso progetto: raccolgono i dati, a volte li archiviano e li utilizzano per altri obiettivi. Il cambiamento principale ora è che richiedono meno sforzo da parte degli utenti. Non è necessario cercare idranti o agitare la mano verso una macchina fotografica. Ma è possibile fare un ulteriore passo avanti ed eliminare completamente i CAPTCHA se un sito Web supporta le passkey.
In questa configurazione l’accesso non viene eseguito con una password; si utilizzano invece chiavi di criptaggio attivate dai dati biometrici o da un PIN, il che di solito rende completamente superfluo un controllo aggiuntivo per “dimostrare di essere umano”. Abbiamo analizzato cosa sono esattamente le passkey, dove funzionano e come utilizzare la tecnologia nel nostro post Passkey nel 2025: la guida completa all’accesso senza password. Se desideri archiviare le passkey e garantire che funzionino senza problemi su tutti i dispositivi, il nostro gestore di password fa per te.
Purtroppo le passkey non funzionano nelle situazioni in cui si desidera rimanere anonimi ed esplorare senza creare un account. Per questo motivo, non possono sostituire del tutto i CAPTCHA, ma rendono comunque la vita molto più semplice alla stragrande maggioranza degli utenti.
Come proteggere l’azienda
Dal punto di vista dell’utente, non fa quasi alcuna differenza quale metodo di protezione dai bot decide di utilizzare un sito Web. Parliamoci chiaro: probabilmente non lascerai una pagina solo perché utilizza reCAPTCHA o un sistema di analisi del comportamento. Inoltre, quando si tratta di sistemi che funzionano silenziosamente in background, non saprai nemmeno che tipo di dati hanno raccolto su di te e sul tuo dispositivo. Ma questo non significa che la tua privacy sia una causa persa.
Le nostre app Kaspersky Standard, Kaspersky Plus e Kaspersky Premium per Windows e macOS includono Navigazione privata. La funzionalità impedisce ai siti Web di terze parti di tenere traccia dell’attività online in tempo reale. Per la privacy dei dispositivi mobili, è possibile fare affidamento su Social Privacy (Android, iOS). Inoltre, i dispositivi Android che eseguono la versione 9 o successiva includono la funzionalità Chi mi spia disponibile in determinate aree geografiche. Questo strumento esegue il rilevamento stalkerware, verifica la presenza di tag di monitoraggio nascosti ed esamina le autorizzazioni delle app che rendono più facile spiarti.
Infine, il nostro gestore di password ti protegge quando un sito di phishing utilizza un CAPTCHA reale per apparire legittimo: Kaspersky Password Manager non consente di compilare automaticamente nome utente e password. Ecco cos’altro è possibile fare per mantenere privati i dati:
- Non immettere i dati in un sito solo perché è protetto da un CAPTCHA. I truffatori utilizzano da molto tempo reCAPTCHA, hCaptchas e Turnstile nelle pagine di phishing per creare fiducia.
- Passa alle passkey ove possibile. Non funzionano con i siti di phishing e riducono significativamente il rischio che i dati e i modelli comportamentali vengano raccolti.
Abbiamo stilato un elenco essenziale di altre tecnologie che stanno per essere abbandonate:
Consigli