Evil twin: l'access point gemello malevolo

I dispositivi si riconnettono automaticamente alle reti note per SSID. Un evil twin clona l'SSID e offre un segnale più forte: i client lo scelgono.

Il flusso

L'attaccante crea un AP con SSID identico ("Aeroporto_WiFi"), spesso combinato con deauth per staccare i client dall'AP reale. Una volta connessi, un captive portal falso chiede la password del WiFi aziendale o le credenziali email.

hostapd + dnsmasq + una pagina di login clonata

Difesa

Reti aziendali con 802.1X/EAP e validazione del certificato del server (il client verifica l'AP, non solo viceversa). Disabilita la riconnessione automatica alle reti aperte. WIDS per rilevare AP rogue. Diffidare dei captive portal che chiedono password.