Los sistemas CAPTCHA que llevamos años viendo en Internet ya no detienen a los bots. Expertos advierten que proteger las entradas online es hoy una misión casi imposible si queremos mantener la privacidad y la accesibilidad.
¿Alguna vez has intentado comprar entradas para un concierto muy esperado y, al llegar al sitio, ya estaban agotadas? ¿Y además tuviste que marcar fotos con semáforos, autobuses o pasos de peatones para demostrar que eres humano? Pues bien: esos controles que conocemos como CAPTCHAs están dejando de funcionar. De hecho, puede que ya no sirvan de nada.
Así lo asegura Raphael Michel, creador de pretix, un sistema de venta de entradas de código abierto, quien ha sido tajante:
«Los CAPTCHAs ya no proporcionan una protección significativa contra bots.»
Y eso es una mala noticia para los usuarios y también para los organizadores de eventos.
¿Qué son los bots y por qué son un problema?
Los bots son programas informáticos que automatizan tareas. En el caso de la venta de entradas, hay bots creados para comprar cientos o miles de tickets en segundos, antes de que los usuarios reales tengan oportunidad.
¿El objetivo? La reventa, donde esas entradas se ofrecen a precios mucho más altos. Un bot puede hacer lo que ningún humano: conectarse al instante, rellenar formularios en milisegundos y repetir la operación decenas de veces por minuto.
Los CAPTCHAs ya no los frenan
Durante años, la solución más usada para frenar a estos bots han sido los CAPTCHAs, esas pruebas que te piden reconocer letras torcidas, marcar imágenes o escuchar un audio para asegurarse de que no eres un robot.
Pero la tecnología ha avanzado tanto que los bots ya pueden resolver esas pruebas igual o mejor que los humanos. Gracias a la inteligencia artificial, muchos sistemas reconocen imágenes, voces y textos casi al instante.
Y si un CAPTCHA se hace más difícil para confundir al bot, también se vuelve más difícil para el humano… hasta el punto de que puede resultar frustrante o inaccesible.
Un dilema: privacidad, accesibilidad o seguridad. Elige dos
Para Michel, estamos ante un “triángulo imposible”. No se puede tener, al mismo tiempo:
- Protección efectiva contra bots
- Respeto a la privacidad (no recopilar datos personales)
- Total accesibilidad (para personas con discapacidad)
A esta idea la llama el teorema BAP, y propone que los sistemas actuales solo pueden cumplir dos de esas tres condiciones. Por ejemplo:
- Si un sistema protege bien contra bots y es accesible, suele exigir identificarte, lo que compromete tu privacidad.
- Si es privado y accesible, probablemente no detenga a los bots.
- Y si es seguro y privado, puede excluir a personas con discapacidades.
¿Qué alternativas existen?
Dado que los CAPTCHAs están quedando obsoletos, han surgido otras estrategias, aunque todas con pegas:
1. Análisis del comportamiento del usuario
Algunos sistemas modernos como reCAPTCHA v3 no piden marcar imágenes. En su lugar, analizan cómo te mueves por la web, la velocidad de tus clics, tu historial de navegación…
Esto puede funcionar, pero requiere recopilar muchos datos sobre ti, incluso cuando visitas otras webs. Y eso supone un riesgo para tu privacidad.
2. Verificación de identidad
Otra opción es hacer que cada entrada esté vinculada a una persona con nombre, apellidos y DNI. Así, aunque un bot consiga entradas, no podrá revenderlas fácilmente.
¿El problema? Puede ser complicado si compras varias entradas y aún no sabes quién te acompañará. También excluye a quienes no quieran compartir datos personales.
3. Pruebas de esfuerzo (proof of work)
Esta técnica obliga al ordenador a resolver una tarea compleja antes de continuar. Es como poner a tu equipo a “pensar” durante unos segundos.
La idea es que para un usuario no supone gran cosa, pero para un bot que quiere hacer cientos de compras, se vuelve costoso. Sin embargo, en la reventa de entradas —donde se ganan cientos de euros por cada ticket—, este coste no es un problema real.
Y además, gastar energía del ordenador en tareas inútiles no es ecológico.
Los bots ya se camuflan como humanos
Antes, los bots eran simples programas que no usaban un navegador real. Ahora, simulan exactamente lo que haría una persona, e incluso utilizan navegadores reales controlados por código.
Esto significa que ya no se les puede detectar por señales técnicas como falta de movimiento del ratón. Porque incluso un humano con un lector de pantalla (usado por personas ciegas) tampoco mueve el ratón.
La delgada línea entre bot y humano es cada vez más difícil de trazar.
¿Entonces qué se puede hacer?
Michel propone dos medidas efectivas, aunque ninguna es perfecta:
- Entradas personalizadas y verificadas, que se asocian a una persona concreta y se revisan con su documento en el evento.
- Limitar compras por teléfono o tarjeta bancaria, dificultando que una misma persona o bot adquiera muchas entradas.
Esto no detiene a todos los estafadores, pero sí aumenta el coste y reduce su rentabilidad.
Una conclusión incómoda
La realidad es que la tecnología por sí sola no puede resolver este problema. La venta de entradas enfrenta un dilema muy claro:
O se protege del abuso de bots, o se respeta la privacidad y accesibilidad de todos los usuarios. Hacer ambas cosas, hoy por hoy, es casi imposible.
Algunos países han optado por leyes contra la reventa de entradas, pero los resultados son dispares. Mientras tanto, los organizadores de eventos tendrán que tomar decisiones difíciles: ¿proteger el negocio, o proteger los derechos del público?
Lo que está claro es que los CAPTCHAs, tal como los conocemos, ya no bastan.
¿Te ha pasado alguna vez que un CAPTCHA te bloqueó o te impidió conseguir una entrada? ¿Qué opinas de vincular cada entrada a un DNI? ¡Cuéntanos tu experiencia!
vía: Revista Cloud
