此場景面臨的威脅
合成身分申辦
機器人提交偽造或竊取的身分資料來通過 KYC，常使用合成的證件影像。下游成本——洗錢風險的誤判、監管機關的關注——遠超過每次註冊的成本。
為掏空交易而接管帳號
對金融科技登入的撞庫攻擊是價值最高的變種：一旦進入，攻擊者就提走餘額或轉向連動帳號。在登入表單處攔截是整個防護堆疊中最便宜的防禦之一。
卡片／支付通道試探
被盜的卡片會以低額交易在你的支付 API 上測試。新增付款方式與提領流程若無 CAPTCHA，你就成了替攻擊者免費生成拒付手續費的機器。
推薦／獎金農場
註冊獎金、入金加碼獎金與推薦回饋都是機器人磁鐵。假帳號→領獎金→提領→重複。這些養獎金的帳號通常也以偏低比例在 KYC 上失敗——但獎金已用真金白銀付出，才觸發失敗的 KYC。
金融科技流程中該把 CAPTCHA 放在哪裡
金融科技正是過度佈點合理的情況。畢竟牽涉真金白銀。
- 帳號註冊（KYC 之前）
在最明顯的機器人註冊消耗 KYC 配額之前先擋下。KYC 供應商按次計費。
- KYC 證件上傳步驟
證件上傳的第二道 CAPTCHA 能抓住通過註冊、但以腳本提交證件的機器人。
- 登入與密碼重設
帳號接管防禦。任何觸及餘額的流程都必備。
- 新增付款方式（卡片／銀行）
盜刷測試防禦。此處嚴密佈點可省下金流手續費與商譽。
- 提領／轉帳確認
你產品中風險最高的用戶動作。CAPTCHA + 2FA + 行為風險分數是標準配置。
- 獎金領取／推薦碼提交
獎金農場防禦。此處廉價的 CAPTCHA 能省下可觀的實質賠付金額。
常見問題
CaptchaLa 符合 SOC2 / ISO27001 / GDPR / PIPL 嗎？
GDPR、CCPA 與 PIPL：符合，從架構層面即是。我們不對訪客做指紋識別、不與第三方共享資料，只保留驗證請求所必需的最少資料。SOC2 Type II 稽核進行中；我們公開信任姿態，並在 NDA 下回覆安全問卷。
CAPTCHA 與我們既有的詐欺防護堆疊（Sift、Sardine、Riskified、ComplyAdvantage）如何互動？
它們處於不同層級，互不衝突。CAPTCHA 在表單處擋下機器人；詐欺平台則為存活下來的「是人或機器人」訊號評分。多數同時運行兩者的金融科技回報，CAPTCHA 降低了詐欺平台支出（待評分的事件變少），並提升詐欺平台的訊號品質（機器人雜訊變少）。
CAPTCHA 會拖慢受監管時間窗流程（如交易下單）中的真實客戶嗎？
自適應 CAPTCHA 對低風險用戶以中位數低於 100 毫秒為目標——快到不會成為瓶頸。對於每一毫秒都計較的交易執行式流程，你通常會略過下單按鈕本身的 CAPTCHA（已由工作階段 + 2FA 設閘），而把它放在工作階段建立與提領等敏感動作上。
強客戶驗證（PSD2）的要求怎麼辦？
CAPTCHA 是分層 SCA 方法的輸入之一，但本身無法滿足 SCA（SCA 需要知識／持有／固有三類中的兩個要素）。請以 CAPTCHA + 2FA + 裝置信任搭配出符合 SCA 的流程；CAPTCHA 的成本在於分層，而非摩擦。