evil twin (podstawiona sieć Wi-Fi)

Evil twin to podstawiona sieć Wi-Fi, która udaje sieć zaufaną, na przykład hotelową albo lotniskową, żeby urządzenia ofiar połączyły się z nią zamiast z prawdziwą. MITRE ATT&CK opisuje tę technikę jako uruchamianie pozornie autentycznych punktów dostępowych, które mają skłonić użytkowników do połączenia ze złośliwą siecią, a potem podsłuchiwać ruch, zmieniać przesyłane dane albo przechwytywać to, co wpisują ^[1]. Sekurak definiuje ją krótko jako podstawienie sieci o tej samej nazwie co oryginalna ^[2]. Evil twin jest odmianą ataku man-in-the-middle (MITM) w warstwie sieci bezprzewodowej.

Jak działa

Urządzenie nie ma prostego sposobu, by odróżnić dwa punkty dostępowe nadające tę samą nazwę sieci (SSID). Według MITRE atakujący używa prawdziwych nazw sieci, silniejszego sygnału albo zakłóca połączenie z oryginałem, żeby wymusić przełączenie ^[1]. Może też odpowiadać na zapytania, którymi telefony i laptopy szukają zapamiętanych sieci, i podawać się za jedną z nich ^[1]. Do tego służą gotowe urządzenia, na przykład WiFi Pineapple ^[1]; sekurak pisze, że urządzenie to automatyzuje cały atak ^[3].

Po połączeniu ofiara zwykle widzi stronę logowania do sieci (captive portal). W sprawie opisanej przez australijską policję podstawiona strona prosiła o zalogowanie się adresem e-mail albo kontem w mediach społecznościowych ^[4]. Przebieg pokazuje schemat poniżej.

RYS. 1Evil twin z fałszywym portalem logowania

Sekurak zwraca uwagę, że VPN nie chroni przed tym wariantem, bo wyłudzenie następuje, zanim urządzenie uzyska pełny dostęp do internetu i zestawi tunel ^[2]. MITRE wymienia jeszcze wariant z własnymi certyfikatami, które mają pozwolić na przechwycenie ruchu HTTPS ^[1]; wtedy przeglądarka pokazuje ostrzeżenie o certyfikacie SSL/TLS, którego użytkownik nie powinien akceptować.

Odmiany

W WordPressie

Evil twin nie atakuje strony, tylko osobę, która nią zarządza. Dokumentacja WordPressa mówi wprost, że sieć po obu stronach połączenia, serwerowej i klienckiej, powinna być zaufana, a kawiarnia internetowa, w której hasła idą nieszyfrowanym połączeniem, bezprzewodowym czy nie, nie jest siecią zaufaną ^[7]. Luki w sieci pozwalają przechwycić hasła i inne wrażliwe dane ^[7].

Typowe ryzyka dla administratora WordPressa pracującego w podróży:

• wpisanie hasła do panelu albo poczty na fałszywej stronie logowania do Wi-Fi, co prowadzi do przejęcia konta;
• logowanie przez FTP, który przesyła hasło otwartym tekstem; dokumentacja zaleca SFTP, bo szyfruje hasło i dane w drodze do serwera ^[7];
• przejęcie ciasteczka sesji z panelu, jeśli strona nie wymusza HTTPS, czyli przejęcie sesji (session hijacking).

Strona może ograniczyć skutki po swojej stronie: działać wyłącznie przez HTTPS z nagłówkiem HSTS, wymagać uwierzytelniania dwuskładnikowego (2FA) dla kont z rolą administratora i nie przyjmować logowania do serwera hasłem.

Zagrożenia i skutki

Australijska Federalna Policja podała, że dane wyłudzone przez fałszywe sieci mogły posłużyć do dostępu do korespondencji ofiar, zapisanych zdjęć i filmów oraz danych bankowych ^[4]. W sądzie ustalono, że sprawca po przejęciu kont kobiet wykradał ich prywatne zdjęcia ^[5]. Evil twin bywa też narzędziem grup państwowych: MITRE podaje, że APT28 używała urządzeń WiFi Pineapple do ataków evil twin w celu kradzieży danych logowania i instalacji złośliwego oprogramowania ^[1].

Jak się bronić

MITRE wymienia dwa środki zaradcze: systemy wykrywania i blokowania włamań w sieciach bezprzewodowych, które szukają fałszywych punktów dostępowych, oraz szkolenie użytkowników, by nie ufali otwartym sieciom i zwracali uwagę na błędy certyfikatów ^[1]. Wykrywanie polega na szukaniu punktów nadających tę samą nazwę z silniejszym sygnałem, nieoczekiwanym adresem sprzętowym albo innym szyfrowaniem ^[1].

Po stronie użytkownika policja australijska radzi unikać sieci, które proszą o dane osobowe, takie jak konto e-mail lub w mediach społecznościowych ^[5], wyłączać udostępnianie plików, nie korzystać z bankowości w darmowym Wi-Fi i po użyciu kazać urządzeniu zapomnieć sieć ^[4]. Sekurak dodaje, by wyłączyć automatyczne łączenie z otwartymi sieciami, z których korzystało się wcześniej ^[2].

Po stronie operatora sieci Wi-Fi Alliance wymaga WPA3 w urządzeniach z certyfikatem Wi-Fi CERTIFIED; sieci WPA3 zabraniają przestarzałych protokołów i wymagają chronionych ramek zarządzających (PMF) ^[6]. Szerzej temat opisuje hasło zagrożenia publicznych sieci Wi-Fi.

Historia i przykłady

Technika evil twin została dodana do MITRE ATT&CK 17 września 2024 roku ^[1]. Najszerzej opisana sprawa pochodzi z Australii. W kwietniu 2024 roku linia lotnicza zgłosiła podejrzaną sieć Wi-Fi, którą pracownicy zauważyli podczas lotu krajowego ^[4]. Śledczy znaleźli dane z fałszywych stron Wi-Fi na lotniskach w Perth, Melbourne i Adelajdzie oraz na pokładach samolotów, a 8 maja 2024 roku, po przeszukaniu domu podejrzanego, postawiono mu zarzuty ^[4]. W komunikacie z 28 listopada 2025 roku policja podała, że 44-latek został skazany na siedem lat i cztery miesiące więzienia ^[5]. Sekurak przypomniał o tej sprawie 1 grudnia 2025 roku ^[3].