DoS Attacke aus dem eigenen Netz

Hallo zusammen,

Als passiver Beobachter dieses Forums habe ich bereits viel gelernt, daher diesmal eine direkte Frage in die Runde.
ich suche seit einiger Zeit schon nach einer Lösung zu diesem Problem:

Ausgangssituation:
In unserem Unternhmen befindet sich getrennt vom Produktivnetz ein Wlan für die Mitarbeiter.
Der Internetzugang kommt von einer standard-DSL-Verbindung über eine FritzBox und wird von dort über einen 8port Cisco aufs Patchpanel übertragen, das in einige büros leitet. Dort sind AP, als LAN-Brücke, die das Wlan aufspannen. Jeder AP spannt ein eigenes Netz auf, mit der gleichen SSID und Passwörtern, damit man überall im Gebäude das gleiche WLAN nutzen kann. Es sind 4AP und es läuft "eigentlich" perfekt. Verschlüsselung ist wpa3, ssid ist versteckt, Passwort ist komplex, WLAN an der Fritzbox direkt ist deaktiviert, es gibt keine Schnittstellen mit dem Produktivnetz. DHCP läuft über die FritzBox, Mac-Filter ist auf jedem AP aktiviert und Konfiguriert. Die AP sind einfache tp-link RX500.
Wir sind in einer internationalen Umgebung, die Nationen sind aber in verschiedenen Gebäuden untergebracht und ähnliche Konfigurationen finden sich in allen Gebäuden, die WLAN überschneiden sich aber nicht im Bezug auf Empfangsreichweite und Kanal. Es gibt ca. 40 registrierte Nutzer im WLAN, von denen meist jedoch nur 10-15 gleichzeitig im Netz sind.

Problem:
Hin und wieder - zu Beginn alle 24h, inzwischen eher willkürlich - kommt ein Gerät ins Netz und überflutet das Netz mit DNS anfragen. Im Prinzip eine typische DOS attacke, aber aus dem eigenen WLAN. Der Angriff sorgt dafür, dass die AP nicht mehr erreichbar sind und somit das WLAN kollabiert. Per LAN an die Fritzbox angeschlossene Geräte können problemlos das Netz und das Internet nutzen. Mein Laptop ist per LAN angeschlossen (einziges Endgerät im LAN), so konnte ich die Attacke über Wireshark bestätigen.
Das angreifende Gerät nutzt bei jedem Login eine andere IP, die nicht im DHCP-Bereich des Netzes liegt und eine andere MAC-Adresse. Die MAC-Adressen sind manchmal sogar von im Netz registrierten Geräten, die aber nicht verursacher sind, dass haben wir bereits getestet. Die Mobiltelefone der meisten Mitarbeiter sind auch getestet, ohne erfolg. Andere Engeräte existieren nicht in diesem Netz. Gestern haben wir das WLAN neu konfiguriert (andere SSID, neues Passwort), ohne Nutzer aufzunehmen und heute morgen gab es wieder eine Attacke. Das Gerät ist währenddessen auf der Fritzbox registriert und kann in der Netzwerkübersicht gefunden werden.

Wir konnten den Angriff lokal eingrenzen und wissen über welche AP der Angriff erfolgt aber unterbinden konnten wir es mit den bisherigen Maßnahmen nicht.
Nmap funktioniert während des Angriffs nicht, da die AP zu dem zeitpunkt auch nicht aus dem LAN erreichbar sind, sie werden quasi totgepingt.

1. Hat irgendjemand hier eine Idee welches Gerät sowas verursachen kann? Ich gehe nicht davon aus, dass einer der Mitarbeiter mit Absicht ein Schadgerät einbringt, da dies bei Entdeckung massive Konsequenzen nach sich ziehen würde.
2. Kennt jemand eine Software/Hardware, mit der man sowas aus den eigenen Reihen unterbinden kann? Ein DNS Blocker wie Adguard oder PiHole funktioniert nicht, haben wir schon getestet.
3. Gibt es ein Gerät, mit dem man diesen Sender physisch detektieren kann?

Vielen Dank für Eure Ideen, wir sind so langsam etwas Ratlos.