Spoofing de MAC.

O spoofing de MAC substitui por software o endereço MAC gravado numa NIC por um escolhido pelo atacante. Em redes que dependem de filtragem MAC, allowlists de portais cativos ou licenças associadas a um endereço de hardware, isto basta para obter acesso não autorizado. Também é usado para contornar quotas por dispositivo em Wi-Fi público, neutralizar defesas de desautenticação ou roubar leases DHCP em redes mal segmentadas. As defesas incluem 802.1X, NAC, Dynamic ARP Inspection com DHCP snooping e não tratar o MAC como credencial.

Tecnicamente, a alteração é trivial: um endereço MAC nunca é verificado pelos pares, pelo que ip link set dev eth0 address, o macchanger ou uma chave de registo do controlador reescrevem o valor que a NIC anuncia em cada trama Ethernet ou 802.11. Como os primeiros 24 bits são o OUI (identificador único de organização) atribuído pelo IEEE, os atacantes clonam muitas vezes o prefixo de um fabricante real para se misturarem no tráfego. O panorama defensivo mudou quando funcionalidades de privacidade tornaram o spoofing de MAC corrente: o iOS 14 (2020) e o Android 10 passaram a difundir MAC aleatórios por SSID para travar o rastreio passivo de localização, e o Windows 10 oferece o mesmo. Isto quebrou as allowlists de dispositivos baseadas em MAC em toda a indústria e empurrou as empresas para o 802.1X/EAP-TLS com certificados e o MACsec (IEEE 802.1AE) para a identidade ao nível da ligação. Por si só, um MAC falsificado só vence onde a rede confia indevidamente na camada 2; nada consegue contra a autenticação criptográfica.

flowchart TD
  A[Dispositivo do atacante] --> B[Ler o MAC de um dispositivo confiável]
  B --> C[Definir o endereço da NIC: macchanger / ip link]
  C --> D[A NIC anuncia o MAC clonado nas tramas]
  D --> E{A rede confia na camada 2?}
  E -- Filtro MAC / portal cativo --> F[Acesso concedido - contornado]
  E -- 802.1X / EAP-TLS / MACsec --> G[Rejeitado - exige um certificado]