Sem mais informações, como o layout ou uma descrição da sua topologia de rede, não podemos responder à sua pergunta. Eu suspeitaria que você tem um único domínio de broadcast e, portanto, quando um dispositivo invasor que está executando o DHCP está conectado em que os clientes se conectam a ele em vez do design existente da camada 3.