Attacchi Deauth e Evil Twin: perché attivare subito la VPN e come proteggersi nel 2026

Perché la deautenticazione Wi‑Fi torna al centro dell’attenzione nel 2026

Cosa succede dietro le quinte del Wi‑Fi e perché è importante

Partiamo senza noiose teorie, ma con i fatti. Nelle reti wireless la gestione della connessione si basa su frame speciali — i management frames. Questi aggiornano la rete, aiutano a connettersi e… purtroppo si trasformano facilmente in leve per gli attacchi. La deautenticazione (o deauth) è un messaggio di gestione che dice al dispositivo: «Non siamo più amici, disconnettiti». Nelle configurazioni vecchie e ancora molto diffuse, questi frame non sono protetti. Chiunque con un modulo radio adatto può falsificarli e buttarti fuori dalla rete. Suona incredibile? Nel 2026 è ancora realtà, soprattutto in bar, hotel, aeroporti e eventi.

Perché è un problema critico ora? Il mondo ibrido del lavoro, i pagamenti mobili, i messaggini con doppia autenticazione — tutto deve restare online senza interruzioni né fughe di dati. Gli attaccanti usano il deauth come leva: ti buttano fuori dalla rete, poi sostituiscono il punto di accesso con un “gemello malvagio” (evil twin), cercando di intercettare il traffico, farti passare da portali di phishing o catturare richieste DNS. E se non attivi subito la VPN, si apre una finestra di vulnerabilità nei primi secondi dopo la riconnessione. È lì che succede tutta la magia dell'attacco — e il dolore della vittima.

Il Wi‑Fi è diventato più sicuro, ma non ovunque e non per tutti

«Non aveva risolto tutto il WPA3?» — potresti chiedere. In parte sì. Lo standard WPA3 e la protezione dei management frame PMF (802.11w) bloccano molti vecchi trucchi. Ma nella realtà spesso troviamo compromessi: gli amministratori impostano PMF in modalità opzionale, gli ospiti si collegano a reti aperte con captive portal, e i dispositivi con firmware obsoleti semplicemente non proteggono i management frame. Inoltre il roaming tra punti di accesso, SSID ridondanti e impostazioni «per compatibilità» lasciano falle. Insomma, la teoria regge tutto, ma il bar sotto casa spesso no.

Per questo adottiamo un doppio piano. A livello Wi‑Fi — richiedere WPA3 e PMF. A livello traffico — attivare la VPN immediatamente, senza pause né eccezioni. Non è un pulsante magico, ma due step: proteggere il canale radio dove possibile e proteggere il tunnel sopra, in modo che anche se la connessione cade e si ristabilisce l'attaccante veda solo rumore incomprensibile. Come cintura di sicurezza e airbag: meglio insieme che a turno.

Miti e realtà su VPN e Wi‑Fi

Primo mito: la VPN protegge da ogni attacco Wi‑Fi. No. Deauth è radio. Taglia bruscamente il canale verso il punto di accesso. Qui la VPN non può nulla. La realtà: la VPN impedisce all’attaccante di trasformare la tua nuova connessione in un MITM e chiude la finestra di vulnerabilità se si avvia subito e senza perdite di dati. Così non perdi mai la privacy, anche sotto attacco. Secondo mito: se la rete ha password, sei al sicuro. Non sempre. Molte password girano su post-it e captive portal o VLAN guest spesso sono più semplici di quanto sembrino.

Nel 2026 è in crescita il Wi‑Fi 7 e stack client più intelligenti su iOS, Android e Windows. Ma gli attaccanti non stanno fermi: usano massivamente il deauth flood per forzare la connessione, poi lanciano il gemello malvagio con stesso SSID e anche l’occhio esperto può sbagliare. Da qui il nostro consiglio principale: fai della VPN un’abitudine, come allacciare la cintura di sicurezza. Accendi il Wi‑Fi — subito il tunnel. Nulla di «dopo».

Come funziona la deautenticazione e il deauth flood in parole semplici

Frame deauth e disassoc: chi, a chi e perché

Saltando le formule, ogni sessione Wi‑Fi ha un “protocollo di buone maniere”. Client e punto di accesso possono separarsi educatamente con disassociation o deauthentication. L’aggressore sfrutta questa etichetta, falsifica un messaggio “educato” e butta fuori il client. Il trucco è semplice: l’aria radio è condivisa, e i client vecchi sono fiduciosi. Appena arriva il comando «ci separiamo», il dispositivo chiude la sessione e prova a riconnettersi.

Parte così la catena: scouting del canale, selezione SSID noto, tentativo di connessione. Ed è proprio in questo momento che l’attaccante mette il suo “specchio” — un gemello con lo stesso nome. Se la rete è aperta o con autorizzazione semplice via captive, la probabilità di cadere nella trappola è alta. Perciò un client ben configurato e una VPN immediata sono salvezza. Il client deve verificare i parametri della rete e la VPN partire subito, senza lasciare nulla in chiaro.

Deauth flood: quando non si è più «cortesi»

A volte l’attaccante non si limita a pochi frame. Inonda l’aria di centinaia di “vattene” al secondo. Questo è il deauth flood. L’obiettivo non è solo buttarti fuori, ma impedire la riconnessione, creare disordine, spingere gli utenti a cercare alternative: hotspot gratis, tethering dal telefono, qualsiasi cosa. Nel caos la gente sbaglia: clicca «sì» nel portale sbagliato, si connette alla rete simile. Da lì phishing, proxy e tentativi di rubare token.

Dal punto di vista pratico sembra che il Wi‑Fi «scompaia», il dispositivo tenta continuamente di riconnettersi e si scarica più del solito. Ti innervosisci, clicchi tutte le finestre pur di avere internet. E loro giocano su questo. La chiave è l’automatismo tranquillo: il client deve riconnettersi solo alla configurazione verificata, e la VPN deve partire subito e bloccare ogni altro traffico se il tunnel non è attivo. Niente «zone grigie».

PMF e 802.11w: salvezza o compromesso

I Protected Management Frames (PMF) sono il tentativo di chiudere proprio questa falla. L’idea è semplice: per chiudere la sessione serve firmare il messaggio di “buona educazione” con crittografia. Se la firma manca, il client ignora il comando. Bello, vero? Sì, ma con dettagli. Primo, PMF deve essere impostato su required, non optional. Secondo, il client deve supportarlo correttamente. Terzo, nelle reti aperte con captive PMF per definizione non funziona.

Qui entra in gioco il nostro secondo livello — la VPN. Non blocca il comando radio, ma rende inutile la parte MITM dello scenario. Anche se vieni buttato fuori e torni «automaticamente» in rete (o finisci per sbaglio sul gemello), il tunnel cifrato impedisce all’attaccante di leggere o alterare il traffico. Inoltre un buon kill switch blocca ogni tentativo di bypassare la VPN. Così il problema diventa solo una seccatura, non un disastro.

La coppia deauth e evil twin: un classico

Lo scenario è rodato. Prima il deauth butta fuori la vittima. Poi arriva il gemello: stesso SSID, canale simile, a volte anche stesso MAC (BSSID) con piccole variazioni. Poi captive portal “per finta” e dietro proxy e tentativi di rubare login, cookie, codici temporanei. Nessuna scienza missilistica, ma funziona sulle nostre debolezze e fretta.

La nostra risposta è sempre la stessa: esigere PMF dove possibile e avviare la VPN all’istante, senza click manuali. Se il provider VPN aziendale permette Always‑on e politica «Blocca connessioni senza VPN», attiviamole subito. Eliminano la finestra tra la riconnessione e il rialzo del tunnel. Sì, a volte è scomodo. Ma le tue password e sessioni vivranno più a lungo e felici.

Evil Twin AP: come riconoscerlo e non cascarci

Tre segnali del gemello: guardiamo oltre l’SSID

L’evil twin raramente si tradisce col nome della rete. Il nome è identico, ma i dettagli differiscono. Segnali utili: BSSID (MAC del punto) diverso da quello salvato, canale improvvisamente cambiato, tipo di cifratura modificato (ad esempio da WPA2-PSK a “aperto”). Poi attenzione al segnale instabile: a volte forte, a volte quasi sparito. E captive portal strano dove prima non c’era.

Oggi molti OS memorizzano non solo l’SSID ma anche i parametri di sicurezza. Se vedi una variante “inaspettata”, meglio non connettersi automaticamente. Meglio attivare internet mobile, lanciare la VPN e controllare tutto con calma. Sì, suona noioso. Ma ti evita un bel problema MITM. Più comodo è impostare regole: «non connettersi automaticamente a reti aperte» e «chiedere conferma». Piccoli accorgimenti che fanno risparmiare nervi.

Captive portals: trappole con sorriso

I captive sono pagine per accettare regole, amate dai provider per motivi legali. Gli attaccanti le copiano, mettono loghi, “accesso gratuito per 60 minuti” e tu inconsapevolmente inserisci mail, password o peggio dati aziendali. La regola d’oro: captive non deve mai chiederti credenziali di lavoro. Se vedi login aziendale fuori dal dominio aziendale e senza SSO noto — stop. Chiudi, passa a LTE/5G e usa i servizi aziendali solo via VPN.

Il trucco 2026 è il captive proxy che fornisce internet ma cambia DNS e tenta di piazzare certificati falsi per siti interni. Il browser avvisa? Benissimo, è un campanello d’allarme. Non ignorare i warning di “certificato non affidabile”. Non è un glitch, ma spesso salva dal grande guaio.

Trucchi moderni del gemello: OWE, Hotspot 2.0 e novità

Per sembrare “puliti”, gli attaccanti a volte imitano tecnologie nuove. Per esempio OWE (Opportunistic Wireless Encryption) — cifratura per reti aperte. Oppure Hotspot 2.0 (Passpoint) — connessione automatica, come nel roaming. Sulla carta sicurezza e comodità. Ma nella pratica un altro motivo per controllare dove e come ti connetti. Le vere reti Passpoint sono legate a profili operatore o azienda installati tramite configurazione, non un clic qualsiasi in un bar.

Il messaggio è semplice: se ti propongono un profilo “affidabile” firmato da un’organizzazione — ok. Se invece vedi pop-up “Installa configurazione Wi‑Fi” da browser senza contesto — meglio chiudere. E sì, la VPN sopra anche ai nuovi standard è un’abitudine che ti salva negli scenari grigi.

Perché la VPN è la prima difesa contro il gemello

L’evil twin vuole fare da intermediario. Ma se tutto il traffico passa da VPN forte (come WireGuard o IKEv2 con EAP‑TLS), l’intermediario si ritrova con pentole vuote. Nessun login, nessuna mail, nessun orario di lavoro. Inoltre un buon client VPN blocca tutto il traffico prima che il tunnel sia attivo e non lascia che app escano in rete in anticipo. Così anche la riconnessione “riuscita” al gemello vale zero byte per chi attacca.

Il nostro consiglio è semplice e familiare: integra la VPN nell’avvio automatico, attiva Always‑on e Kill Switch, disattiva lo split‑tunneling se non strettamente necessario. Meglio soluzioni solide che puramente eleganti. A volte severità significa protezione maggiore, soprattutto su Wi‑Fi pubblico.

Cosa può e cosa non può la VPN contro il deauth

Analisi onesta: la VPN non blocca il radio, ma riduce i danni

La VPN non è lo “scudo di Capitan America” contro i segnali radio. La sua forza sta altrove: nella cifratura e integrità del traffico. Trasforma il tuo canale internet in un tubo opaco. Il Wi‑Fi può spegnere quel tubo, certo. Ma alla riconnessione il tubo si ricostruisce, e l’attaccante vede ancora soltanto pacchetti cifrati. Per questo diciamo che la VPN limita i danni, non immunizza miracolosamente la rete.

Per funzionare bene contano i dettagli: ricreazione della chiave veloce, logica di riconnessione immediata e assenza di fughe dati in caso di disconnessione. Serve un client VPN che “tenga la linea” senza intervento manuale, riconosca la riconnessione e riapra il tunnel. Così il deauth diventa solo una pausa, non un passaggio ai tuoi dati e password.

Cifratura sconfigge MITM, anche se l’AP non è tuo

Il MITM — attaccante come intermediario — è pericoloso solo se vede o altera dati non protetti. Con la VPN ogni app comunica col server dentro un tunnel sicuro. I tentativi di falsificare certificati si rompono con l’autenticazione TLS e la deviazione DNS fallisce se tutto passa dal resolver fidato nella VPN. L’attaccante resta a giocare a una rete che dà internet ma senza guadagno — non il ruolo che voleva.

Importante che richieste DNS, SNI e metadata passino tramite VPN. Nel 2026 i buoni client usano DNS-over-TLS dentro il tunnel e bloccano fughe da servizi di sistema. Occhio alle opzioni “Blocca connessioni senza VPN” — fermano le sorprese da app che corrono online in background.

Kill switch e Always-on: due cose indispensabili

Il kill switch blocca tutto il traffico se il tunnel cade. È il tuo “freno d’emergenza”. Always-on tiene la VPN sempre attiva, dal momento dell’avvio del sistema. Insieme eliminano la finestra tra “collegato al Wi‑Fi” e “VPN attiva”. Anche un millisecondo senza cifratura è un boccone per il gemello malvagio. Toglilo dall’equazione — e molti attacchi si fermano.

L’esperienza dimostra: col kill switch gli incidenti da “connessione senza VPN” scendono quasi a zero. Always-on fa affidare meno su disciplina e più sull’automatismo. Nel 2026 è standard de facto sia a casa sia nelle aziende attente ai dati.

Protocollo veloce = finestra di vulnerabilità più corta

WireGuard, IKEv2 e implementazioni moderne di QUIC-VPN (es. su TLS 1.3) garantiscono una riconnessione rapida. Parliamo di secondi, perfino frazioni. La differenza si vede: più veloce il tunnel dopo deauth, meno app riesce a inviare dati fuori VPN o l’utente a intervenire manualmente. Conta anche la resilienza al cambio rete — Wi‑Fi a 5G e viceversa. Protocollo che porta avanti la sessione tra questi switch è un amico prezioso.

Non inseguire esotismi o versioni instabili. Meglio client affidabili, con focus su velocità riconnessione e robustezza, non centinaia di opzioni nascoste. La semplicità è sicurezza.

Perché è importante connettersi subito alla VPN: la finestra di vulnerabilità nei primi secondi

Micro-finestra dopo la connessione: dove sta il rischio

Ti connetti a “Coffee_WiFi_Free”. Il sistema prova a sincronizzare mail, aprire messaggistica, aggiornare widget. Se la VPN non è ancora attiva, queste richieste iniziali viaggiano in chiaro: DNS escono, handshake TLS, a volte metriche HTTP non sicure. Per un attaccante esperto è abbastanza per capire chi sei, cosa fai, e dove piazzare phishing o un punto di accesso per la prossima volta. Se è dispositivo aziendale, il rischio cresce molto.

Non esageriamo, ma riconosciamo il fatto: i primi secondi decidono l’esito. Se in quelli il traffico resta dentro il tunnel — stai meglio. Se esce — l’attaccante raccoglie metadata e può giocare una partita lunga. Always-on VPN e blocco traffico fino al tunnel chiudono questa finestra.

Avvio automatico, rialzo e verifica

Impostare la VPN perché parta “da sola” non è un lusso, ma un’igiene essenziale. Avvio automatico client, selezione automatica protocollo migliore, recupero sessione dopo sospensione o cambio rete, anche dopo errori captive. I migliori client 2026 lasciano passare solo la pagina di autorizzazione captive in eccezioni sicure, poi rialzano subito il tunnel. Ideale: l’utente non ci pensa, la policy fa tutto correttamente.

Talvolta certi captive bloccano apposta il traffico VPN. Ma un client intelligente li riconosce: apre solo pagina attivazione, non lascia andare app online, rialza il tunnel subito dopo autorizzazione. Per l’utente è qualche clic, per la sicurezza è linea senza buche.

DNS, SNI e ECH: dettagli che ci tradiscono

Anche se i siti sono HTTPS, i metadata raccontano molto. DNS mostra dove vai. SNI in TLS quale dominio apri. La risposta è portarli dentro la VPN con cifratura metadata. Nel 2026 ECH (Encrypted Client Hello) è supportato da browser e CDN principali, nasconde il dominio nell’handshake. Ottimo, ma inutile se il primo request esce senza tunnel. Ribadiamo: VPN deve partire prima che tu apra qualcosa.

Dal lato client cerchiamo opzioni “forza DNS via VPN”, “vietato risolvere fuori tunnel”, “supporto ECH”. Piccole spunte, grande effetto. E ovviamente zero eccezioni per reti pubbliche è l’ideale.

Casi reali: bar, hotel, aeroporto

Bar. Classico: qualcuno lancia deauth, metà sala perde connessione, appare “Coffee_WiFi_Free_5G”. Pochi clic e sei sul gemello con copia del portale. Se la VPN parte subito, l’attaccante vede solo rumore bianco. Se no — metadata e token rubati. Hotel. Reti ospiti con IPTV gateway e login sospetti. Deauth costringe gli ospiti a ridigitare il numero stanza. Poi phishing “inserisci numero carta per deposito”. Aeroporto — fretta e decine di SSID “ufficiali”. Deauth crea loop “caduta — nuovo SSID — clic veloce”. Salva solo la disciplina: connettersi a rete nota e aspettare VPN. Nessuna alternativa.

Difesa pratica per utenti: checklist chiare

Smartphone: Android 14/15 e iOS 18

Su Android: attiva Always‑on VPN e “Blocca connessioni senza VPN”. Disabilita connessione automatica a reti aperte. In Wi‑Fi dimentica SSID inutili, specialmente vecchi “free”. Attiva indirizzi MAC casuali (Private address) di default. Abilita notifiche per portali sospetti. Controlla che DNS passi via VPN, non tramite “operatore” di default.

Su iOS: usa profili VPN attivabile On‑Demand (per ogni rete). In azienda Always‑on su dispositivi supervisionati. Disabilita “Connessione automatica” a reti aperte. Attiva “Limitato tracking” Wi‑Fi e indirizzi privati. Controlla che in cambio Wi‑Fi/5G le app non mandino dati prima che appaia icona VPN. Se captive blocca il tunnel, autorizza e verifica manualmente VPN rialzata.

Notebook: Windows 11/12, macOS 15, Linux

Windows: attiva Always-on in policy, vieta traffico senza VPN, disabilita split-tunneling su reti pubbliche. Attiva metriche interfacce per evitare che Wi‑Fi sovrascriva VPN attiva su Ethernet. Controlla che client DNS (es. DoH) lavori dentro tunnel. macOS: usa profili, RouteAllTraffic per reti pubbliche, abilitare controllo certificati rigido. Linux: NetworkManager abilita VPN automaticamente con reti; disabilita ‘‘default route’’ senza VPN. Su tutte le piattaforme controlla comportamento da sleep: VPN primo al risveglio.

E poi: attiva notifiche per cambi BSSID e parametri sicurezza. Molti client avvisano quando SSID uguale ma cifratura differente. Un segnale piccolo ma prezioso di “qualcosa non va”.

Wi‑Fi domestico: alziamo l’asticella

A casa configura WPA3-Personal e PMF su required. Aggiorna firmware router — non è un gioco, ma sicurezza reale. Disabilita WPS, nascondi SSID guest con regole semplici: VLAN separate o isolamento client. Se dispositivi non supportano WPA3, usa modalità mista WPA2/WPA3 ma tieni PMF su supported. Controlla lista connessioni router: MAC sconosciuti via.

Perché nel pezzo sulla VPN? Meno falle radio a casa significa meno tentazione del “tanto va bene così”. L’abitudine è più forte di qualsiasi lezione. Se sei abituato a casa sicura, rischi meno di cliccare su SSID sospetto fuori. E sì, anche a casa VPN aiuta — specie lavoro remoto aziendale.

Reti pubbliche: regole semplici

Regola base: non connettersi automaticamente a reti aperte. Controlla SSID e parametri. Non inserire credenziali aziendali su captive. Non aprire app bancarie prima di VPN. Se la rete scade, non saltellare tra SSID casuali — passa a internet mobile. Se browser segnala certificato — non ignorare e non cliccare “continua”. E soprattutto: attiva VPN prima che sistema inizi a sincronizzare processi in background.

Noioso? Forse. Ma funziona. Sono quei piccoli passi che rendono inutili i trucchi deauth e danno il controllo a te, non all’attaccante al tavolo accanto.

Pratiche per business e team di sicurezza

Policy VPN: Always-on, Zero Trust e blocco fughe

In azienda non si discute più “serve la VPN?”. Si discute come renderla invisibile e obbligatoria. Always-on, kill switch, tunnel per tutto il traffico fuori reti fidate, segmentazione rigida, ZTNA per app — sono basi. Vietare split-tunneling per reti pubbliche e accesso a sistemi sensibili è base. Permessi da catalogo, certificati e principi “minimo accesso necessario”. Tutto questo annulla il rischio MITM e fa del deauth solo fastidio, non ingresso nel perimetro.

Assicurati che client gestiscano captive “semi-automatico” e non perdano traffico fuori tunnel. In MDM/EMM imposta profili che lanciano VPN prima del login utente, soprattutto su mobile. E sì — logga ogni caso ‘‘uscita internet senza tunnel’’: idealmente non deve succedere.

Policy Wi‑Fi: WPA3‑Enterprise e PMF required

Per uffici: WPA3-Enterprise con EAP-TLS, PMF obbligatorio, disattivazione cifrature vecchie e metodi anonimi. Per ospiti: OWE o VLAN isolate con captive obbligatorio e limiti velocità. Non mischiare SSID di produzione e ospiti su controller senza netta separazione. Aree esterne (sale riunioni ospiti) separale fisicamente quando possibile. Controlla che client non vedano “specchi” nell’etere — usa WIDS.

Guarda nelle impostazioni roaming: roaming aggressivo a volte agevola attaccante che “fugge” su segnale più forte ma malevolo. Usa roaming meno aggressivo o whitelist BSSID su dispositivi critici.

Monitoraggio: WIDS/WIPS e metriche deautenticazione

Wireless IDS/IPS non è lusso. Rilevano picchi deauth, segnano BSSID sospetti, traccia tentativi di fake SSID. Nel 2026 sistemi maturi correlano con log VPN e anomalie app: “incidente Wi‑Fi sospetto” e “VPN di 12 impiegati si è scollegata simultaneamente”. Così rispondi velocemente: blocchi attaccante legalmente, ricalibri potenza, dai consigli utenti.

Non dimenticare report: quanti eventi deauth al giorno, hotspot caldo, quali device cadono più spesso. A volte è solo canale sovraccarico, captive mal configurato, firmware vecchio. Aggiustando peggiori la superficie d’attacco anche senza “cyber magia”.

Formazione: micro simulazioni e promemoria

Le persone sono la prima linea. Piccole simulazioni “cosa fare se Wi‑Fi cade”, “come riconoscere captive malevolo”, “avviso browser sospetto” funzionano meglio di lunghe lezioni. Metti trigger su messaggini aziendali: se WIDS vede spike deauth manda avviso “non connettersi a nuovi SSID, attendere, VPN deve restare attiva”. Una semplice mossa che salva da clic sconsiderati.

E ripeti senza timore: “VPN sempre. Senza VPN niente”. Non è dogma retrò, ma pratica che blocca metà degli attacchi appena cominciano.

Trend 2026: Wi‑Fi 7, WPA3 di massa e Passpoint

Wi‑Fi 7: velocità, multi-link e nuove sfide

Wi‑Fi 7 (802.11be) porta Multi-Link Operation, canali larghi e velocità impressionante. Perfetto per lavoro e app cloud. Ma la sicurezza resta igiene di base: WPA3, PMF required, roaming corretto. Nel multi-link (MLO) serve che client portino VPN tra link senza rotture. Buone notizie: client moderni già lo fanno. Pessime: qualche firmware all’inizio è ancora immaturo. Aggiornare è fondamentale.

Dal lato minacce il deauth resta. Ma controller di rete migliorano il rilevamento grazie a correlazioni tra più radio. Gli admin vedono di più, gli attaccanti restano più nascosti.

WPA3 e OWE: minimo ragionevole per ospiti

WPA3-Enterprise per staff e OWE per ospiti diventano standard. Una combo ottima: ospiti con cifratura senza password, staff con autent certificati forti. Però OWE non protegge captive e non sostituisce VPN. Serve solo a non lasciare il traffico radio “pulito”. Perciò a ospiti consigliamo popup che dicano: “Non inserire dati sensibili prima di attivare VPN”.

Nel 2026 molti hotel e aeroporti usano OWE. In periodi di picco admin qualche volta “semplificano” config, scivolando sulla sicurezza. Non fidarti dell’ordine altrui. Fidati del tuo tunnel.

Passpoint/Hotspot 2.0: comodo, ma controlla le fonti

Passpoint fa sembrare il Wi‑Fi come roaming mobile: profilo, operatore, auth automatica. Più semplice e sicuro di SSID pubblici “per tutti”. La trappola: il profilo dev’essere da fonte sicura. Azienda o operatore — sì. Popup browser da sito sconosciuto — no. Con profilo Passpoint i rischi evil twin calano molto, ma la VPN resta necessaria per proteggere app e dati.

In azienda Passpoint è utile per ospiti: distribuisci profilo, la persona si comporta “da insider”, mantieni segmentazione. Riduce caos captive e superficie phishing.

Convergenza VPN, ZTNA e SASE

Il confine tra “VPN per trasporto” e “ZTNA per app” si assottiglia. Nel 2026 crescono soluzioni dove tunnel VPN è livello trasporto, accesso rilasciato a livello app con controllo continuo del contesto. Utile contro deauth: in ogni disconnessione il traffico non esce “internet allo stato puro”, e le app non accedono senza policy. Se scegli piattaforma, cerca client unico: meno rischio che uno parte e l’altro dimentica.

Non dimentichiamo visibilità: telemetria, latenza, velocità riconnessione. Vedere significa controllare. Se metriche mostrano “tunnel sempre acceso” dormi tranquillo. Altrimenti – SRP e SLO in mano.

Analisi casi e errori tipici

Caso 1: conferenza e SSID “ufficiale”

Situazione reale. Grande conferenza, migliaia di persone. SSID ufficiale suona solido, ma accanto spunta uno quasi identico, con una lettera diversa. Qualcuno lancia deauth, la gente cade in massa e si collega alla rete «quasi ufficiale». L’attaccante monta captive, raccoglie mail e prova a rubare token webmail. Chi usa Always-on e kill switch appare noioso: le app stanno zitte finché il tunnel non è attivo. Gli altri si innervosiscono.

Conclusione: non fidarti solo del nome rete. Serve politica device e abitudine a guardare l’icona VPN. Se non è accesa — non sei veramente online, anche se vorresti dare una sbirciata.

Caso 2: Wi‑Fi in hotel e “conferma numero carta”

Hotel, sera tardi, sei stanco. Il Wi‑Fi cade poi “torna su”, ma appare pagina “conferma carta per deposito”. Spesso phishing tramite evil twin dopo deauth. Segnali: dominio strano, niente TLS o certificato sospetto, errori grammaticali. Cosa fare: chiudere, passare a LTE/5G, accedere app o sito hotel ufficiale. Sempre con VPN. Meglio segnalare alla reception: possono verificare la rete. Fidati, a loro importa.

Questi casi sono sgradevoli, ma ottimamente curabili con disciplina e automazione. Più fai da solo, più sbagli.

Cinque errori utenti molto comuni

Errore 1: «Provo solo una volta senza VPN». Quella “una volta” provoca poi allarmi sicurezza. Errore 2: riconnessione automatica a tutte le reti aperte. Errore 3: ignorare warning certificati browser. Errore 4: lista eccezioni VPN troppo lunga. Errore 5: router vecchi a casa e abitudine ‘‘così va bene’’. Ti riconosci? Non colpevolizzarti, sistema le impostazioni. Cinque minuti meno cinque problemi potenziali.

Bonus: credere che «rete con password è sicura». La password è solo galateo, non armatura.

Cosa fare se vieni buttato fuori continuamente con deauth

Prima cosa — niente panico. Passa a internet mobile e lascia al dispositivo un paio di minuti. Secondo — non connetterti a SSID nuovi o simili che non conosci. Terzo — controlla VPN: Always-on attivo? Kill switch attivo? Quarto — se è posto di lavoro, segnala IT: magari qualcuno sta “giocando” e WIDS deve intervenire. Quinto — aggiorna driver Wi‑Fi e firmware, a volte è solo instabilità rete, non attacco.

Infine, copia lista “reti dimenticate”: elimina quelle inutili. Meno tentazioni, meno trappole.

Piano quotidiano personale di protezione passo passo

Mattina: casa e ufficio

A casa controlla firmware router aggiornato, WPA3 attivo, PMF su required. Su laptop e telefono verifica che VPN parta con sistema. Prima di uscire disattiva connessione automatica reti aperte. In ufficio controlla icona VPN: deve sempre essere accesa, specialmente con roaming tra piani o AP. Questi piccoli rituali prendono secondi ma costruiscono sicurezza giornaliera.

Se Wi‑Fi ufficio fa i capricci — non tacere. Segnala IT. A volte è guasto, a volte «ottimizzazione» altrui, altre volte tentativo MITM. Trasparenza è alleata sicurezza.

Giorno: bar e coworking

Al bar non accettare subito captive “gratis”. Prima verifica VPN pronta, poi accetta e lascia cliente rialzare il tunnel. Se rete cade, non saltare a SSID nuovi. Respira, passa a mobile, VPN attiva, decidi se il Wi‑Fi vale stress.

Nei coworking chiedi network e cifratura esatta. Se promettono WPA3 ma vedi rete aperta con captive — rifletti se connetterti. I tuoi dati valgono più del file veloce.

Viaggi: aeroporti e hotel

In aeroporto usa solo SSID ufficiali, meglio via Passpoint se disponibile. Tieni occhi aperti su nomi «quasi uguali». In hotel pianifica: se Wi‑Fi è sospetto, usa tethering 5G, soprattutto per lavoro e pagamenti. E VPN sempre. Anche ‘‘solo un attimo’’ è il momento magico per problemi.

Per team aziendali utile dare guide su aeroporti e hotel frequenti. Una piccola knowledge base risparmia nervi e riduce rischi.

Situazioni non standard: tethering, USB pubbliche, IoT

Il tethering da smartphone è comoda alternativa Wi‑Fi pubblico. Ma ricorda: metti password, aggiorna device, limita tempo hotspot. USB pubbliche sono pericolose: usa solo ricarica con “condom USB” o caricatore personale. IoT? Tienili in rete guest a casa, non collegarli in bar o hotel. E sì, VPN su telefono e laptop è obbligatoria.

Sembrerà prudente oltre il necessario. Ma l’esperienza dice: meglio prudenza a buon mercato che conseguenze di un attacco MITM riuscito.

FAQ: il meglio in breve

La VPN blocca direttamente gli attacchi deauth?

No. Deauth è messaggio radio che taglia connessione a livello Wi‑Fi. La VPN non gestisce l’aria. Ma riduce drammaticamente il valore di deauth per l’attaccante: dopo la nuova connessione tutto resta criptato, e il kill switch impedisce fughe fuori tunnel.

WPA3 e PMF aiutano contro la disconnessione forzata?

Sì, se PMF è obbligatorio e il client lo supporta, è difficile usare frame fake per deautenticare. Non è bacchetta magica, ma ottima protezione. Nelle reti aperte con captive PMF non funziona — lì serve per forza VPN.

Serve attivare la VPN prima di autenticarsi sul captive?

Quasi sempre sì: un buon client lascia passare localmente solo la pagina captive, senza uscire col resto, e poi subito rialza tunnel. Se captive blocca VPN, autenticati e verifica che VPN sia subito di nuovo attiva. Non lanciare app prima di questo.

Passpoint/Hotspot 2.0 è pericoloso?

Di per sé Passpoint è più sicuro di reti pubbliche casuali se il profilo è da fonte affidabile. Però non sostituisce VPN. Il tunnel serve a nascondere traffico app e metadata e proteggersi da MITM in ambienti disonesti.

Conviene usare split-tunneling?

Su reti pubbliche meglio disabilitare split-tunneling. Meno traffico fuori dal tunnel significa meno superficie d’attacco. In azienda qualche configurazione fine è possibile, ma di default — tutto in VPN, specialmente su Wi‑Fi sconosciuto.

Come capire se vicino c’è un evil twin?

Segnali: stesso SSID ma tipo crittografia diverso, BSSID sconosciuto, segnale instabile, captive imprevisto. Browser che segnala certificato, VPN che non parte — sono campanelli d’allarme. In questi casi meglio passare a internet mobile e non rischiare.

Cosa fare se la rete cade sempre e la VPN non riesce a partire?

Attiva Always‑on e kill switch, aggiorna client, prova protocollo più veloce (es. WireGuard), riduci eccezioni. Se è ambiente di lavoro, segnala IT: forse serve regolare AP, roaming o intervento WIDS. Per emergenze passa a rete mobile.