仿冒热点是什么
仿冒热点（Evil Twin）指攻击者架设一个同名 SSID 的热点，用更强的信号吸引终端自动连接，从而把流量引到自己的设备上。常见于机场、酒店、展会等公共区域，目的通常是中间人拦截或通过仿冒的门户页面骗取账号口令。
怎么防御
最有效的技术手段是服务器证书校验：企业网络使用 802.1X 时，客户端校验 RADIUS 证书可以识破仿冒认证者。其次是收紧终端的自动连接行为，关闭「自动加入开放网络」等选项。用户侧则应避免在公共 Wi-Fi 上处理敏感事务，并依赖应用层加密而非网络可信。
基本信息
| 常见手法 | 使用同名 SSID 并提高发射功率 |
|---|---|
| 主要风险 | 中间人攻击与仿冒门户骗取凭据 |
| 技术防御 | 开启服务器证书校验、使用 802.1X 或 Passpoint |
| 行为防御 | 关闭终端自动连接开放网络的功能 |
| 企业侧措施 | 统一推送无线配置，避免员工手工连接外部热点 |
识别线索
| 线索 | 说明 | 动作 |
|---|---|---|
| 同名不同 BSSID | 同一 SSID 出现陌生的物理设备标识 | 核对 BSSID 白名单 |
| 证书不匹配 | 认证时提示证书名称或颁发者异常 | 立即中断连接并上报 |
| 信号异常强 | 可疑位置出现异常强的同名信号 | 现场核实设备来源 |
| 端口页面异常 | 要求输入账号密码的仿冒门户 | 不要在页面输入任何凭据 |
终端侧核查
终端侧核查
# Windows：无线配置文件属性中确认已勾选验证服务器证书
# 并指定受信任根 CA 与服务器名称
# 手机端：关闭「自动加入开放网络」等便捷连接选项
# 企业侧：统一推送含证书校验的无线配置模板典型使用场景
- 公共区域连接排查：发现同名热点时核对 BSSID 与证书
- 员工安全培训：说明仿冒热点的识别方法与常见话术
- 企业设备管控：统一推送配置并禁止手工连接外部热点
- 证书校验落地：把服务器证书校验作为准入要求
- 事件响应：怀疑已连接仿冒热点时立即断网、改密并追溯
- 访客网络设计：避免访客与员工网络共用同一 SSID 名称
企业设备应统一推送证书与无线配置，避免员工在需要用网时手工连接来路不明的热点。