Теоретически и практически можно получить MAC адрес клиентов подключенных к AP(например через airodump-ng) - и ничего не мешает злоумышленнику поменять свой MAC-адрес на адрес жертвы, чтобы обойти защиту фильтрации...