Valstrikken van evil-twin-wifi op reis: nep-hotspots, captive portals en een Australische veroordeling
Elke luchthaven, elk hotel en elke vliegtuigcabine heeft tegenwoordig zijn vertrouwde gratis netwerk, en de meeste reizigers verbinden zich zonder er twee keer over na te denken. Een evil-twin-toegangspunt exploiteert juist die gewoonte: het is een nep-hotspot die de naam van een legitiem netwerk leent. Apparaten die eerder met het echte netwerk verbonden waren, kunnen automatisch met het valse verbinden, en nieuwkomers zien het verschil niet, want een wifi-netwerknaam bewijst geen enkele identiteit.
Van aanklacht tot veroordeling
De duidelijkste recente illustratie komt uit Australië. In april 2024 meldde een luchtvaartmaatschappij bij de Australische federale politie (AFP) een verdacht netwerk dat tijdens een binnenlandse vlucht haar legitieme wifi imiteerde. Op 19 april 2024 doorzochten onderzoekers de handbagage van een passagier op luchthaven Perth en namen een draagbaar wifi-toegangspunt, een laptop en een mobiele telefoon in beslag. Op 28 juni 2024 klaagde de AFP de 42-jarige West-Australiër aan voor negen feiten: hij zou op de luchthavens van Perth, Melbourne en Adelaide, in binnenlandse vluchten en op andere locaties valse netwerken hebben opgezet, met een pagina die reizigers vroeg in te loggen met een e-mail- of socialmedia-account; de ingevoerde inloggegevens werden op zijn apparaten opgeslagen (AFP)."Om met een gratis wifi-netwerk te verbinden, hoef je geen persoonlijke gegevens in te voeren - zoals inloggen via een e-mail- of socialmedia-account", zei AFP-rechercheur Andrea Coleman bij de aankondiging van de aanklacht.Het verhaal eindigde niet bij de aanklacht. In november 2025 meldde de AFP dat de man, inmiddels 44, in de rechtbank van Perth schuld bekende aan 15 feiten en zeven jaar en vier maanden cel kreeg, met mogelijkheid tot voorwaardelijke vrijlating na vijf jaar. Forensisch onderzoek van zijn apparaten legde inloggegevens van anderen bloot, naast duizenden intieme afbeeldingen en video's die van accounts van vrouwen waren gestolen. Volgens de AFP ging het om een draagbaar penetratietestapparaat dat als "Wi-Fi Pineapple" op de markt is: het luistert mee met apparaten die vertrouwde netwerken zoeken en kloont er automatisch een - en de valse inlogpagina's gaven nooit echt internettoegang. Hun enige functie was oogsten (AFP).
Waarom de truc werkt
De mechanica is eenvoudig. Een nep-hotspot die met meer vermogen zendt dan het legitieme netwerk kan dit van de lijst op een telefoon verdrukken; de analyse van Kaspersky van de zaak in het vliegtuig merkt op dat slachtoffers alleen het valse netwerk zagen omdat het signaal sterker was (kaspersky.com). Captive portals doen de rest: de pagina die een reiziger verwacht - kamernummer, e-mailadres, sociallogin - is precies de pagina die een aanvaller kan namaken. Sommige omstandigheden stapelen het risico op. Luchtvaartmaatschappijen streamen entertainment steeds vaker naar de eigen apparaten van passagiers, waardoor verbinden met het vliegtuignetwerk routine voelt, en op hoogte is er geen mobiel alternatief. De Kaspersky-auteur noemde de slagingskans van zo'n opzet "hemelhoog": inloggegevens afgeven of de vlucht zonder entertainment doorkomen.Wat HTTPS verandert, en wat niet
Het beeld is minder somber dan tien jaar geleden. Zoals de Amerikaanse FTC opmerkt, versleutelen tegenwoordig de meeste websites hun verbindingen, en dat is een groot deel van de reden waarom zij openbare wifi-netwerken over het algemeen veiliger vindt dan vroeger (consumer.ftc.gov). Transportversleuteling doet het zware werk: een evil twin kan je verkeer doorsturen, maar een goed versleutelde verbinding met de echte site blijft onleesbaar voor wie doorstuurt. De kanttekeningen wegen even zwaar als de regel. Versleuteling beschermt de verbinding, niet de beslissing ervoor: een wachtwoord dat in een vals portal wordt getypt, wordt vrijwillig overgedragen, nog vóór elke handshake met de echte dienst. De FTC benadrukt ook dat het slotje niets zegt over wie een site beheert; oplichters halen net zo goed certificaten voor valse pagina's. En zelfs volledig versleuteld blijft het valse toegangspunt metadata zien: welke domeinen je opzoekt en naar welke servers je verbindt. Opvallend: noch het Australische onderzoek noch de gepubliceerde analyses van zulke campagnes berusten op gebroken versleuteling. Ze hoeven dat niet.Een praktische houding
Dit alles vraagt geen paranoia, alleen een korte checklist die consequent wordt toegepast:- Behandel elk portal dat inloggen met e-mail, social media of betaalgegevens vraagt als vijandig; legitiem gratis wifi heeft dat niet nodig, zoals de AFP na de zaak benadrukte.
- Controleer de exacte netwerknaam bij personeel op de grond en bij de stoelinstructies in de lucht, in plaats van op het sterkste signaal te vertrouwen.
- Geef waar het abonnement het toelaat de voorkeur aan de hotspot van je eigen telefoon boven andermans netwerken.
- Schakel automatisch verbinden uit, laat apparaten netwerken na gebruik vergeten en zet wifi uit wanneer die niet nodig is.
- Breng je eigen versleuteling mee: zet een VPN aan zodra de verbinding staat en houd je gebruikelijke Tor-houding voor gevoelige zaken; als de VPN niet verbindt, geen e-mail of bankieren op dat netwerk.
- Installeer nooit apps, plug-ins of certificaten die een portal aanbiedt en verbreek de verbinding als ernaar gevraagd wordt.