Nach Angaben von Delta ereignete sich der Vorfall am Vortag auf Flug 591. Ein Sprecher des Unternehmens erklärte gegenüber BleepingComputer, eine erste Erkenntnis sei, dass sich für kurze Zeit ein unautorisiertes WLAN an Bord befunden habe, das nicht von Delta stamme. Eine Notlage gegenüber der Flugsicherung sei nicht erklärt worden. Bei dem Flugzeug handelte es sich laut Delta um eine Boeing 757 mit sechs Besatzungsmitgliedern und 199 Passagieren.
Nachdem die Crew von dem fremden Funknetz erfahren hatte, schaltete sie das WLAN des Flugzeugs für beinahe 30 Minuten ab. Delta erklärte zudem, der Vorfall habe weder die Sicherheit der Passagiere noch die Betriebssysteme des Flugzeugs beeinträchtigt. Das Unternehmen kündigte an, mit Bundesstrafverfolgern und Luftfahrtregulierern zusammenzuarbeiten, damit der Fall umfassend untersucht wird.
Online-Berichten zufolge sollen mehrere Passagiere auf dem Rückflug von der DEF CON 34 eine WLAN-Deauthentication-Attacke durchgeführt haben. Bei dieser Angriffsmethode erhalten mit einem WLAN verbundene Geräte gefälschte Pakete, die vorgeben, vom legitimen Access Point zu stammen, und die Trennung der Verbindung anweisen. Angreifer können dazu den Funkverkehr beobachten, die MAC-Adresse des Access Points ermitteln und Deauthentication-Frames mit dessen Adresse als angeblicher Quelle an verbundene Clients senden.
Werden diese gefälschten Frames wiederholt übertragen, können Clients immer wieder vom Access Point getrennt werden, was zu einem Denial-of-Service-Zustand führen kann. Netze, die Protected Management Frames einsetzen, können diese Art von gefälschten Management-Frame-Angriffen abmildern. Solche Attacken werden typischerweise genutzt, um Clients zu einer erneuten Verbindung mit einem manipulierten Access Point zu zwingen, etwa mit einem „bösen Zwilling“, oder um Datenverkehr abzufangen beziehungsweise Ziele auf schädliche Seiten umzuleiten.
Der in Nairobi ansässige Flugzeugtechniker Turbine Traveller veröffentlichte Angaben aus Nachrichten der Flugbesatzung, die über das Aircraft Communications Addressing and Reporting System, kurz ACARS, versendet worden seien. Daraus gehe hervor, dass einige Passagiere das WLAN des Flugzeugs stören und ein fremdes Netzwerk mit dem Namen „Delta WiFi Fast“ ausstrahlen konnten. In einer der von ihm zitierten Nachrichten hieß es sinngemäß, eine Gruppe von Passagieren, die auf einer Cyber-Konferenz in Las gewesen sei, habe das Bord-WLAN stören und ein eigenes Signal senden können. Eine weitere Nachricht beschrieb ein betrügerisches WLAN mit dem Namen „Delta WiFi Fast“, von dem man annahm, dass es andere Passagiere täuschen sollte.
Mary Perrault, Mitglied von Online-Gruppen für Vielflieger ohne formelle Verbindung zu Delta Air Lines, erklärte, das gefälschte WLAN habe eine Phishing-Seite angezeigt, die „persönliche Zugangsdaten und Google-Anmeldedaten“ eingesammelt habe. Nach ihren Angaben betraten nach dem Andocken am Gate Bundesbehörden und die Flughafenpolizei das Flugzeug, befragten die Verdächtigen und beschlagnahmten deren tragbare WLAN-Hardware. Den Berichten zufolge sollen die Verdächtigen die DEF CON 34 in Las Vegas besucht haben.