Y'a pleins de techniques, un enfant de 10 ans serais capable de le faire avec un peu d'entraînement.
On peut y retrouver le Traitement OCR (Optical Character Recognition) par exemple.
Ou encore le plus facile c'est de passer par des failles présentes sur les captchas ( XSS, CSRF, encodage en MD5, sessions non fermées ).
Après il y'a d'autres techniques comme le forcebrute, si le site utilise un nombre limité de captcha, suffit de les lister, puis de forcebrute.
Et op, on s'introduit dans le système, easy.