複合機脆弱性イシュー：プリントしたファイルがネットで漏洩される理由

自分の履歴書、住民票やマイナンバーカードのコピ、成績表などのがネットで広がっていると思うとどんな気分になりますか。

プリンタ複合機（MFP、Multi-Function Printers）を利用してあらゆる重要な個人情報をスキャンし、役所などに提出することは企業や個人、誰にでも起こる日常的な出来事です。このような重要な個人情報のスキャンファイルをオンラインで転送したり、メール、OneDrive、Dropboxなどでリンクを添付したりする場合、zip パスワードをかけたり、ダウンロードの期限制限を設定したりするなど、様々な情報セキュリティ政策に従ってファイルを送ります。

しかし、プリンタ複合機そのままのセキュリティに関してはあまり無神経な場合がたくさんあります。全ての複合機には下のような管理者ページがあり、このページにアクセスすると、誰かがスキャンしたファイルが残っている場合があります。SMB プロトコルを用いてスキャンされたファイルをシェアフォルダへコピスる機能を使った後、または、メールで転送したファイルがそのまま残される場合があります。

その上、さらに大きい問題は個人や企業の複合機（MFP）にログイン認証をしなくてもスキャンフォルダにアクセスできる場合が多いことです。これによってスキャンファイルだけではなく、ファックスの受信リストに残されている受信者メール情報が漏洩されるなど追加的な個人情報漏れのセキュリティ事故が発生しています。

このような複合機（MFP）イシューは企業内のオフィス網でも問題として注目されているが、更に深刻な点はこの複合機がインターネットの外部につながっているところです。次のスクリーンショットは Criminal IP のアセット検索で port:631 フィルターを利用してインターネットに漏洩されている複合機（MFP）の IPP（Internet Printer Protocol）TCP/631 ポートのみを絞って検索した結果です。1,549,767台の検索結果が出ています。ここに 80と443の http/https ポートに起動される複合機（MFP）の管理者ページを含め、はるかに多い結果が出るでしょう。

TCP/631 ポートを使う IPP プロトコル以外、今度はウェブでアクセスできる複合機（MFP）の管理者ページを探してみました。Criminal IPのアセット検索で複合機の製品名である ApeosPort キーワードや HP Color LaserJet MFP キーワードで検索すると、インターネット上でオープンされている IP アドレスの複合機（MFP）管理者ページを確認できます。

Criminal IPで port: 80 フィルターを利用して「ApeosPort」キーワードで検索した結果

Criminal IPで “HP Color LaserJet MFP” キーワードで検索した結果

特に富士ゼロックスの ApeosPort はスマホ、タブレットなどの様々なデバイスで別のプログラムの設置を行わなくても WiFi 連結だけですぐプリントが可能な特長のため、広く使われています。

検索された実際の IPアドレスにアクセスしてみると、何台の ApeosPort  複合機は認証をしなくてもアクセスでき、コピ、ファックス、プリントなどの作業履歴と受信リストまで覗くことができます。ただ、いくつのキーワードを利用した特定の製品のみを検索しただけなのに、セキュリティ問題を抱えたままインターネットの攻撃対象領域に漏洩さた複合機をこんなにもたくさん調べられます。

HP Color LaserJet MFP 管理者ページのファックス作業のログ画面

富士ゼロックス複合機（MFP）管理者ページのスキャンメールボックスのリスト

管理者ページのスキャン済みのドキュメントリストを見ると、 インボイス、取引の履歴、人事評価表などの非常に敏感な情報がセキュリティのバウンダリーに保護されず漏洩されていて、不許可の外部者に流出される可能性があります。

攻撃対象領域に漏洩された MFP 管理者ページの重要ドキュメント

このようにインターネット上で連結され、攻撃対象領域に漏洩されたデバイスはいつでもハッカーに権限をとらえられます。実際に、漏洩された複合機の中では既にたくさんのサーバーがハッキングされています。Crimianl IP 検索フィルターに ‘Hacked’ という文字列とポート 631（IPP）を 組み合わせて検索すると、ハッキングされた HP プリンタを確認できます。検索されたプリンタにアクセスしてみると、左上の ‘Hacked by XXXX’ という文字列が改竄されたことが分かります。ちなみに、有名なプリンタハッキングツールは、2020年 HP プリンタハッキングで有名になった PRET（Printer Exploitation Toolkit）という攻撃ツールがあります。

Criminal IPのハッキングされた複合機（MFP）検索結果の画面

ハッキングされた複合機（MFP）管理者ページの画面

複合機脆弱性 のハッキング攻撃ツール PRET（Printer Exploitation Toolkit）の実行画面

真面目なセキュリティエンジニアが何人かいる会社の場合、担当者が複合機に対してセキュリティ点検を行い、スキャナーに保存されたファイルを定期的に削除する作業を行います。また、職員向けのセキュリティ教育で複合機使用に関するセキュリティ意識向上のキャンペーンもリードしてセキュリティ事故が起こらないように予防に取り組んでいます。しかし、根本的な解決にはたどり着かないケースが多いです。筆者の経験では、複合機使用の後、ファイルを削除するように教育をしても解決せず、セキュリティ担当者が直接複合機のファイルを毎月、50以上削除する場合がありました。

そして、今まで発見された複合機の運営の主体を分析してみると、大方大学の研究室や学科に事務所、小規模の企業が多いと把握されています。大手企業にもこんな問題をおろそかに処理するのは当然で、小さい企業や機関、そして学校のような教育機関はこのような問題がより深刻であると予想されます。（その上、一般家庭の IPアドレスで思われる個人にも同じ問題が発見されています。）

オンライン時代を迎えて暗号化されたメールや使い捨てのGoogleDrive リンクなど、個人情報を転送する方法や個人情報処理システムなど保存システムに関しては様々な情報セキュリティ政策が存在します。しかし、個人情報をすれ違うだけのプリンタデバイスにはこのような情報セキュリティ政策が比較的には足りない部分があると思います。

従って、プリンタのセキュリティに関してもセキュリティ点検を必ず行わなければなりません。特に、アカウントがなくてもすべての機能にアクセスできる問題は必ず修正しべきです。（発見されたプリンタの中で、登録情報の閲覧メニューはログイン認証が必要な場合があるが、せめて最小の認証を設定しておいたことが比較的に幸いといえるでしょう。）

また、大方のプリンタが ACL（アクセス制御リスト）がないまま外部に漏洩されたことも考えて、企業や機関で外部に漏洩される攻撃対象領域管理も必ず定期的に行わなければなりません。