悪魔の双子（あくまのふたご）、Evil Twin（いびるついん）とは、無線通信を盗聴するために設定された、正規のアクセスポイントを偽装した不正なWi-Fiアクセスポイントのことである。悪魔の双子攻撃は中間者攻撃の一種であり、標的の通信を傍受し、改ざんすることができるMaster OccupytheWeb "Network Basics for Hackers: How Networks Work and How They Break" Independently published (2023/1/10) pp..87-97。
悪魔の双子攻撃は、無線LANにおけるフィッシング詐欺に相当するものである。この種の攻撃は、接続を監視したり、詐欺的なウェブサイトを設置し人々をそこに誘い込むフィッシング詐欺によって、無防備なユーザーのパスワードを盗むために使われる恐れがある。クレジットカードの番号や、標的のスケジュールを盗むことも可能になる。
巧妙な攻撃になると、偽のアクセスポイントの名前とMACアドレスが正規のアクセスポイントと同じであるため、本物と偽物との見分けがつかない。
標的を狙い撃ちにすることもできる。指向性のあるWi-Fiアンテナを用いることによっての強度を増やし、標的を偽のアクセスポイントに誘導するFu-Hau Hsu, Min-Hao Wu, Yan-Ling Hwang, Chia-Hao Lee, Chuan-Sheng Wang and Ting-Cheng Chang "WPFD: Active User-Side Detection of Evil Twins" Appl. Sci. 2022, 12(16), 8088。
存在する攻撃であるが、WPA3でも攻撃できるAsmaa Halbouni; Lee-Yeng Ong; Meng-Chew Leow "Wireless Security Protocols WPA3: A Systematic Literature Review" IEEE Access ( Volume: 11) 09 October 2023 DOI: 10.1109/ACCESS.2023.3322931。
日本国内で悪の双子攻撃によって許可なく他人の通信を盗聴する行為は、不正アクセス禁止法によって禁じられており、刑事罰を受ける可能性があるe-GOV 法令検索「平成十一年法律第百二十八号 不正アクセス行為の禁止等に関する法律」。
方法
攻撃者は、偽の無線アクセスポイントを使ってインターネット通信を傍受する。状況を知らないウェブユーザーが攻撃者のサーバーにログインするよう誘導され、ユーザー名やパスワードなどの機密情報を入力するよう促されることがある。多くの場合、事件が発生してからかなり後まで、ユーザーは騙されたことに気づかない。
ユーザーが安全でない（非HTTPSの）銀行や電子メールアカウントにログインすると、その通信内容は攻撃者の機器を通じて送信されるため、攻撃者はそれを傍受する。また攻撃者は、ユーザーの認証情報に関連する他のネットワークに接続することができる。
偽のアクセスポイントは、アクセスポイントとして機能するように無線LANカードを設定することで設置される（HostAPと呼ばれる）。偽のアクセスポイントはすぐに停止できるため、追跡するのは難しい。偽造アクセスポイントには、近くのWi-Fiネットワークと同じSSIDやBSSIDが付与される場合がある。悪魔の双子は、被害者の接続を監視しながらインターネット通信が正規のアクセスポイントを通過するように設定することや、ユーザー名とパスワードを手に入れてから、単にシステムが一時的に利用できなくなっていますと表示することもできる。
キャプティブポータルの使用
悪魔の双子攻撃のもとで最もよく使われる攻撃の1つがキャプティブポータルである。
まず初めに、攻撃者は正規のアクセスポイントと同じESSID（アクセスポイントの名前）とBSSID（アクセスポイントのMACアドレス）をもつ偽の無線アクセスポイントを用意する。次に攻撃者は、正規のアクセスポイントへDoS攻撃を実行し、標的の正規のアクセスポイントとの認証を解除する。標的は、正規のアクセスポイントに接続できない状態になる。それ以降、標的が正規のアクセスポイントに接続しようとすると、自動的に攻撃者の用意した偽のアクセスポイントに接続する。攻撃者が正規のアクセスポイントとのトンネルを設置すると、標的は攻撃者の端末を介してネットワークに接続する。攻撃者は標的に対して中間者攻撃を行うことが可能になる。
標的が偽のウェブポータルでパスワードを入力すると、パスワードが攻撃者に悪用される可能性がある。
事例 2024年7月に、旅客機の中で偽のWi-Fiスポットを使って乗客のe-Mailやソーシャルネットワークの認証情報を盗んだ従業員が、オーストラリア連邦警察によって逮捕された。 従業員の荷物を調べたところ、ポータブル無線機や、スマホ、ラップトップパソコンが発見された。 盗んだメールアドレスやパスワードがハッキングの疑いのある装置から発見されたとのことだった。 オーストラリア連邦警察の捜査で、その従業員の以前の職場でも同じ犯行の痕跡が見つかった。
関連項目 サイバー攻撃 サイバー犯罪 中間者攻撃 フィッシング行為（詐欺） - 悪魔の双子攻撃の変種
出典
外部リンク
Rogue AP software.