CAPTCHA, czyli całkowicie zautomatyzowany publiczny test Turinga, który pozwala odróżniać ludzi od komputerów, nie jest jednak tak dobrym zabezpieczeniem, za jakie się go uważa.
Completely Automated Public Turing test to tell Computers and Humans Apart, w skrócie CAPTCHA, powstał w 2000 roku na Carnegie Mellon University. Test ma być łatwy do przejścia dla człowieka, ale niemożliwy dla komputera. Narzędzie ma zabezpieczać strony przed botami spamującymi i zautomatyzowanymi atakami.
Skuteczność CAPTCHA już od dawna poddawana jest pod wątpliwość, a naukowcy z Uniwersytetu Stanforda definitywnie obalili mit tekstowych wersji tego testu. Narzędzie stworzone na potrzeby badania okazało się wyjątkowo skuteczne. Automat skutecznie łamał 25% zabezpieczeń używanych na Wikipedii, 43% na eBay'u i aż 66% na należącym do Visy serwisie authorize.net. Całkiem nieźle automat radził sobie również na Diggu i stronach należących do CNN. Większość z powszechnie stosowanych metod zabezpieczenia nie okazało się godnymi przeciwnikami stworzonego w Stanford automatu. Nie poddały mu się jedynie reCAPTCHA i Google. Co ciekawe, reCAPTCHA wywodzi się z oryginalnego testu stworzonego w 2000 roku i pochodzi z tego samego uniwersytetu. Przejście tej wersji testu bywa czasem problematyczne także dla ludzi, więc wynik automatu niespecjalnie zadziwia. Z kolei zabezpieczenia stosowane przez Google zostały złamane w 2008 roku przez rosyjskich spamerów, po podobnych atakach na Microsoft i Yahoo!.
Automat usuwa szum z tła łamanego obrazka, a następnie rozbija tekst na pojedyncze litery, które łatwiej identyfikować, niż całe słowa. W publikacji opracowanej przez jego twórców znalazły się również przydatne wskazówki dla stosujących zabezpieczenia oparte na literach, a po publikacji dokumentu Visa i Digg zaczęli stosować reCAPTCHA na swoich stronach.