La IA ha superado los CAPTCHA. ¿Qué nos depara el futuro?

Los CAPTCHA como los conocemos aparecieron en nuestras pantallas hace 26 años. Si bien han evolucionado bastante desde entonces, la idea central siempre ha sido la misma: presentar a los usuarios una tarea rápida que un humano puede resolver en dos segundos pero que un ordenador no puede.

Todo comenzó con texto distorsionado, problemas matemáticos y clips de audio cortos. Luego vino la era de detectar bocas de incendio, semáforos y motocicletas, una fase que parecía que iba a durar para siempre. Pero resulta que los LLM modernos pueden resolver estos acertijos visuales mucho más rápido y con más precisión que cualquier ser humano.

Aquí te mostramos cómo han evolucionado estas pruebas de “¿Eres humano?” y lo que significan para tu seguridad.

El fin de la era del clic en las imágenes

En 2007, Google lanzó reCAPTCHA y, ocho años después, añadieron una prueba que pedía a los usuarios que marcaran todas las imágenes que coincidan con un mensaje específico. Así, millones de usuarios de Internet se convirtieron sin querer en expertos en la identificación de semáforos, bicicletas, techos, puentes e hidrantes. Por supuesto, los bots de inteligencia artificial han aprendido desde hace mucho tiempo a resolver estos acertijos.

Es por eso que, en junio de 2026, Google comenzó a probar una nueva forma de verificar si eres humano. En lugar de las imágenes habituales, ahora se pide a algunos usuarios que graben un vídeo corto que muestre gestos con las manos. Los algoritmos analizan la grabación y rastrean 21 puntos clave en las articulaciones de la mano y los dedos. Al seguir cómo se mueve tu mano, el sistema puede saber si se trata de un humano real o un bot. Resolver este nuevo tipo de CAPTCHA significa otorgar acceso a la cámara, algo que indica una señal de alerta para cualquier persona preocupada por la seguridad y la privacidad. Además, los investigadores de seguridad afirman haber descubierto una laguna en el CAPTCHA experimental de Google basado en gestos con las manos, demostrando que se puede engañar solo con la fotografía de una mano.

Aun así, Google insiste en que estos vídeos nunca se vinculan a tu identidad personal y que no se graba ningún audio. Su política de seguridad también establece que Google elimina todos los datos tan pronto como se completa la verificación. Como siempre, decidir confiar en Google depende completamente de ti, pero nos gustaría mostrarte nuestra publicación, Hacerte una autofoto con tu DNI, ¿es seguro?, en la que desglosamos los riesgos exactos de la verificación biométrica usando fotografías de pasaporte como ejemplo.

¿Cuáles son las alternativas a reCAPTCHA?

Si bien reCAPTCHA de Google sigue siendo el rey indiscutible del bloqueo de bots, la inteligencia artificial está obligando al mundo a adaptarse y los CAPTCHA tradicionales se están convirtiendo en algo del pasado. Aquí hay un análisis breve de los servicios alternativos y los métodos de bloqueo de bots desde una perspectiva de seguridad.

Sistemas de análisis de comportamiento

Una de las formas más avanzadas de proteger un sitio web de una plaga de bots es un sistema de análisis de comportamiento. Este método evalúa automáticamente a cada visitante mediante el seguimiento de los movimientos del ratón, los patrones de clic y las huellas digitales para detectar el comportamiento humano. Pero ni siquiera esto es una fórmula mágica contra los bots. Sus operadores pueden simplemente entrenarlos para imitar patrones de comportamiento naturales, lo que permite a los bots eludir fácilmente este tipo de defensa una y otra vez.

Para los usuarios, esta no es una gran noticia cuando se trata de privacidad. Después de todo, nadie quiere que todos los sitios web de Internet recopilen las especificaciones de sus dispositivos y rastreen su comportamiento. Dicho esto, tampoco se puede considerar realmente una vigilancia en toda regla, ya que la mayoría de estos sistemas no pretenden averiguar quién eres en realidad, y sus creadores prometen que no almacenan tus datos ni los utilizan con fines comerciales. El objetivo principal es, estrictamente, averiguar quién acaba de acceder a la página: un humano o un bot.

Turnstile y hCaptcha

Otra competencia importante de reCAPTCHA es Cloudflare Turnstile. Se ocupa de la verificación de dos maneras: completamente en segundo plano o mediante una acción mínima del usuario. O bien no tienes que hacer nada o simplemente marcas una casilla que dice “No soy un robot”. El principal riesgo para los usuarios aquí se reduce a la ingeniería social. Con frecuencia, los ciberdelincuentes utilizan CAPTCHA que parecen reales en sitios de phishing. Esto adormece a los usuarios con una falsa sensación de seguridad y evita que los análisis de seguridad detecten las páginas maliciosas.

Luego está hCaptcha, un servicio que se centra ampliamente en la seguridad y, a diferencia de reCAPTCHA y Turnstile, no es propiedad de un gigante de la tecnología.

Llaves de acceso

En términos generales, todos los métodos y servicios mencionados hasta ahora siguen el mismo plan: recopilan tus datos, a veces los almacenan y los utilizan para otros objetivos. El cambio principal ahora es que requieren menos esfuerzo de tu parte. No tienes que identificar bocas de incendio ni mover la mano frente a una cámara, pero puedes ir un paso más allá y eliminar los CAPTCHA por completo si un sitio web admite llaves de acceso.

Aquí no inicias sesión con una contraseña. En su lugar, utilizas claves criptográficas activadas por tus datos biométricos o un PIN, lo que generalmente hace que una verificación adicional de “verifica que eres humano” sea completamente innecesaria. Hemos analizado qué son exactamente las llaves de acceso, dónde funcionan y cómo usar la tecnología en nuestra publicación Llaves de acceso en 2025: tu guía completa para iniciar sesión sin contraseña. Si deseas almacenar tus llaves de acceso y asegurarte de que funcionen sin problemas en todos tus dispositivos, nuestro administrador de contraseñas se encargará de todo.

Por desgracia, las llaves de acceso no funcionan cuando deseas permanecer en el anonimato y navegar sin crear una cuenta. Por eso es que no pueden reemplazar los CAPTCHA por completo, pero aun así le facilitan la vida a la gran mayoría de usuarios.

Cómo proteger tu privacidad

Desde la perspectiva del usuario, casi no importa qué método de protección contra bots decida utilizar un sitio web. Seamos honestos, probablemente no abandonarás una página solo porque usa reCAPTCHA o un sistema de análisis de comportamiento. Además, cuando se trata de sistemas que se ejecutan de forma desapercibida en segundo plano, ni siquiera sabrás qué tipo de datos han recopilado sobre ti y tu dispositivo. Pero esto no significa que tu privacidad sea una causa perdida.

Nuestras aplicaciones Kaspersky Standard, Kaspersky Plus y Kaspersky Premium para Windows y macOS incluyen Navegación privada. Esta función evita que los sitios web de terceros rastreen tu actividad en línea en tiempo real. Para la privacidad de dispositivos móviles, puedes confiar en Social Privacy (Android, iOS). Además, los dispositivos Android con la versión 9 o superior incluyen la función Quién me está espiando, disponible en regiones seleccionadas. Esta herramienta detecta stalkerware, comprueba si hay etiquetas de seguimiento ocultas y revisa los permisos de la aplicación que facilitan el espionaje.

Por último, nuestro administrador de contraseñas te protege cuando un sitio de phishing utiliza un CAPTCHA real para parecer legítimo: Kaspersky Password Manager no te permitirá completar automáticamente tu nombre de usuario y contraseña. Esto es lo que puedes hacer para conservar la privacidad de tus datos:

• No introduzcas tus datos en un sitio solo porque está protegido por un CAPTCHA. Los estafadores han estado usando reCAPTCHA, hCaptchas y Turnstiles reales en páginas de phishing durante mucho tiempo para generar confianza.
• Utiliza llaves de acceso siempre que sea posible. No funcionan en sitios de phishing y reducen en gran medida el riesgo de que se recopilen tus datos y patrones de comportamiento.

Hemos hecho una lista esencial de otras tecnologías que están a punto de desaparecer:

• Descifrado en menos de un minuto: (casi) cualquier contraseña
• Adiós a las pruebas CAPTCHA
• Cuando la autenticación de dos factores no resulta útil