2026-08-03T20:00:00+03:00

03.08.2026 20:00

Сетевой принтер или МФУ нужно рассматривать как отдельный компьютер в корпоративной сети.

У него есть операционная система, прошивка, веб-интерфейс, сетевые протоколы, учётные записи, иногда внутреннее хранилище и подключение к облачным сервисам.

Если устройство не обновляется, использует заводской пароль или доступно из общей сети, оно может стать источником утечки документов и точкой входа в инфраструктуру.

Главное: принтер не должен быть доступен из интернета, находиться в одной сети с серверами и рабочими станциями без ограничений или использовать стандартные учётные данные. Минимальный безопасный набор: обновлённая прошивка, отдельный сетевой сегмент, закрытые ненужные протоколы, уникальный пароль администратора и шифрование печати.

Почему сетевой принтер относится к ИТ-инфраструктуре

Современный принтер редко ограничивается одной функцией печати. Устройство может принимать задания по IPP, IPPS, SMB, LPD или JetDirect, предоставлять веб-панель администратора, отправлять сканы по e-mail, сохранять файлы на сетевое хранилище, работать с LDAP или Active Directory.

Многофункциональные устройства также могут временно или постоянно хранить данные печати, сканирования, копирования и факсимильных сообщений.

Это зависит от модели, настроек и наличия внутреннего накопителя. Поэтому в зоне риска оказываются договоры, кадровые документы, счета, сканы паспортов, медицинские документы и коммерческая переписка.

Проблема не в том, что любой принтер обязательно хранит все документы в открытом виде. Риск появляется, когда устройство настроено без учёта хранения заданий, сетевой доступ к нему не ограничен, а процессы безопасного удаления данных отсутствуют.

Какие риски создаёт неправильно настроенный принтер

Открытый веб-интерфейс администратора

Почти у каждого сетевого принтера есть встроенная веб-панель. Через неё можно менять Wi‑Fi-настройки, адреса серверов, параметры печати, учётные данные для каталогов, SMTP и облачных сервисов.

Если панель доступна всем устройствам в локальной сети, использует HTTP без шифрования или защищена заводским паролем, злоумышленник может получить контроль над конфигурацией.

При ошибочной настройке маршрутизатора или пробросе портов административный интерфейс иногда становится доступен и из интернета.

Устаревшая прошивка

Прошивка принтера содержит ошибки так же, как операционная система сервера или офисное приложение. В июле 2026 года CERT/CC опубликовал информацию об уязвимости CVE-2026-13753 в части устройств HP DeskJet 2800 Series. В затронутых версиях прошивки API встроенного веб-сервера позволял получить без авторизации конфигурационные сведения, включая пароль Wi‑Fi Direct и данные управления устройством.

Уязвимость требует сетевого доступа к принтеру. Это важная деталь: она не позволяет атаковать устройство из любой точки интернета сама по себе, но создаёт риск для сотрудника, гостя, заражённого компьютера или другого постороннего устройства, оказавшегося в том же сегменте сети.

Практический вывод: если производитель ещё не выпустил исправление, снижайте поверхность атаки. Ограничьте доступ к веб-интерфейсу правилами межсетевого экрана, отключите Wi‑Fi Direct, если он не нужен, и запретите SNMP для неразрешённых систем.

Неправильная проверка сертификатов

В августе 2026 года Epson сообщила об уязвимости CVE-2026-73542: ряд принтеров и сканеров содержал устаревшие корневые сертификаты. При определённых условиях это может позволить атакующему, находящемуся в сетевом канале, перехватить передаваемые устройством данные через атаку типа «человек посередине».

Производитель рекомендует установить актуальные корневые сертификаты для затронутых моделей. Это показывает, почему обновлять нужно не только операционную систему рабочих станций, но и прошивку периферийных устройств.

Незащищённые протоколы печати

Для печати по сети нередко используется порт 9100 и протокол AppSocket, также известный как JetDirect. Он прост в настройке, но не предусматривает встроенной защиты. Документация CUPS прямо отмечает, что AppSocket не предлагает механизмов безопасности и может быть вектором атаки.

Более безопасный вариант — IPP с шифрованием, обычно обозначаемый как ipps://. IPP over HTTPS использует TLS для защиты канала между клиентом и принтером. Однако шифрование будет работать только при корректной проверке сертификата и настройке доверия к нему.

Стандартные пароли и лишние сервисы

Заводская учётная запись администратора, общий пароль для всего парка устройств, включённые Telnet, FTP, SNMPv1, незащищённый HTTP и ненужные облачные функции расширяют поверхность атаки. Устройство может годами работать без внимания администратора, хотя его интерфейс управления доступен каждому сотруднику в офисной сети.

Может ли принтер стать точкой входа в сеть

Да. Если злоумышленник получает доступ к принтеру, он может изучить конфигурацию сети, найти адреса серверов, учётные данные для сканирования в папку или почтовой отправки, изменить DNS-настройки, организовать перехват трафика или использовать устройство для дальнейшей разведки.

Степень ущерба зависит от модели, прошивки, сетевого сегмента и прав доступа. Изолированный принтер с ограниченным набором разрешённых соединений создаёт существенно меньший риск, чем устройство, которое одновременно видит рабочие станции, файловый сервер, доменную инфраструктуру и интернет.

Принтер не обязательно должен быть «взломан из интернета», чтобы создать проблему. Достаточно заражённого ноутбука в офисной Wi‑Fi-сети, неавторизованного гостя или неверно настроенного VLAN.

Что известно о беспроводных атаках на принтеры

Исследователи из Сингапурского университета технологий и дизайна демонстрировали атаку с использованием смартфона на дроне: устройство искало беспроводные принтеры, создавало поддельную точку доступа и пыталось перехватывать задания печати. Исследование показывает не массовую бытовую угрозу «дрон за окном», а более важный принцип: беспроводное соединение с принтером нельзя считать доверенным только потому, что оно работает в пределах офиса.

Для успешной атаки злоумышленнику требуются подходящие условия: радиодоступ, уязвимая или неправильно настроенная беспроводная конфигурация, а иногда и действия пользователя.

Но именно поэтому Wi‑Fi Direct, гостевая Wi‑Fi-сеть и автоматическое подключение к найденным устройствам требуют отдельных правил безопасности.

Как защитить принтеры и МФУ

1. Составьте реестр устройств

Нельзя защитить то, о чём компания не знает. В реестре должны быть модель, серийный номер, IP-адрес, местоположение, версия прошивки, ответственный сотрудник, включённые сервисы и дата последней проверки.

Особое внимание стоит уделить старым принтерам, временным устройствам в переговорных, сканерам, терминалам печати и МФУ в филиалах. Они часто не попадают в стандартный процесс обновлений.

2. Установите обновления прошивки

Проверьте на сайте производителя актуальную версию прошивки для каждой модели. Обновления лучше сначала установить на одном или нескольких тестовых устройствах, проверить печать, сканирование и интеграции, а затем распространять на весь парк.

Подпишитесь на бюллетени безопасности производителей. Для критичных устройств стоит определить отдельный срок установки исправлений, как для серверов и рабочих станций.

3. Измените пароли администратора

На каждом устройстве должны быть уникальные учётные данные администратора. Общий пароль для всех принтеров удобен только до первого инцидента: после его компрометации приходится менять доступ на всём парке.

• отключите или переименуйте стандартные учётные записи, если это поддерживает модель;
• используйте сложные пароли и корпоративное хранилище секретов;
• ограничьте число сотрудников с административным доступом;
• не передавайте пароль подрядчикам в переписке;
• после увольнения или смены подрядчика меняйте доступ.

4. Изолируйте устройства в отдельной сети

Для офисных принтеров рекомендуется отдельный VLAN или сегмент сети. Рабочие станции должны иметь доступ только к нужным сервисам печати, а административная панель должна открываться только из сети администраторов или через jump host.

Типовая политика межсетевого экрана может выглядеть так:

• разрешить рабочим станциям обращаться к принтерам только по выбранному протоколу печати;
• разрешить серверу печати и системе мониторинга необходимые подключения;
• разрешить DNS и NTP, если они действительно нужны устройству;
• разрешить обращение к серверам обновлений производителя по утверждённому списку адресов;
• запретить устройству доступ к рабочим станциям, серверам и интернету по умолчанию;
• полностью запретить входящие подключения к принтеру из интернета.

Не пробрасывайте порты принтера наружу. Порт 631 для IPP, порт 9100 для JetDirect, веб-интерфейс и SNMP должны быть доступны только доверенным сетям. Если удалённое администрирование необходимо, используйте VPN и отдельный управляемый доступ.

5. Отключите неиспользуемые функции

Каждый включённый сервис увеличивает число возможных ошибок и сценариев атаки. Проверьте, нужны ли организации:

• Wi‑Fi Direct;
• облачная печать;
• печать с мобильных устройств;
• Telnet;
• FTP;
• нешифрованный HTTP;
• SNMPv1 и SNMPv2c;
• LPD;
• JetDirect на порту 9100;
• USB-печать с внешних накопителей;
• отправка сканов на личную почту.

Отключайте только после проверки бизнес-процессов. Например, выключение LPD или JetDirect может затронуть старые бухгалтерские программы, кассовые системы или серверы печати.

6. Используйте защищённую печать

По возможности настройте IPPS вместо незащищённых протоколов. В CUPS для IPP можно задать обязательное шифрование:

ipps://printer.example.local/ipp/print?encryption=required

Стандарт IPP over HTTPS предусматривает использование TLS. Но сертификат должен быть действительным и проверяемым: шифрование не защищает от подмены, если клиент принимает любой сертификат без валидации.

7. Включите безопасную выдачу заданий

Если в офисе печатаются документы с персональными данными или коммерческой информацией, полезна функция удержания задания. Документ остаётся в очереди до тех пор, пока сотрудник не подтвердит печать на устройстве PIN-кодом, картой доступа или через корпоративную учётную запись.

Это снижает риск не только сетевой атаки, но и обычной утечки: когда договор или кадровый документ лежит в общем лотке до прихода автора.

8. Управляйте внутренним хранилищем

Проверьте, есть ли у МФУ встроенный жёсткий диск, SSD или другое постоянное хранилище. Уточните:

• сохраняются ли копии заданий печати и сканирования;
• как долго они хранятся;
• используется ли шифрование накопителя;
• есть ли автоматическое безопасное удаление заданий;
• как очищается устройство перед ремонтом, возвратом или списанием.

Сброс настроек не всегда равен гарантированному уничтожению данных на накопителе. Перед передачей устройства третьей стороне следуйте процедуре производителя по очистке или физическому уничтожению носителя.

Как проверить доступность сервисов принтера

Инвентаризацию и аудит стоит выполнять с разрешения владельца сети. Простая проверка доступных портов с администраторской рабочей станции может выглядеть так:

nmap -sV -p 80,443,161,515,631,9100 192.168.10.50

Команда показывает, какие типовые сервисы доступны на конкретном адресе. Не сканируйте чужие принтеры, публичные адреса или внешние сети без согласования.

На сервере CUPS можно проверить сетевые очереди и доступные URI:

lpinfo --include-schemes dnssd -v
lpstat -v

Если CUPS используется как сервер печати, убедитесь, что удалённое администрирование и общий доступ включены только при необходимости. Документация CUPS рекомендует ограничивать доступ доверенными сетями и использовать шифрование для защиты учётных данных администратора.

Признаки возможного инцидента

Немедленно проверьте устройство, если заметили:

• задания печати, которых никто не отправлял;
• внезапно изменившиеся сетевые настройки;
• новую учётную запись администратора;
• появление неизвестных адресов для сканирования или SMTP;
• необъяснимый исходящий сетевой трафик;
• перезапуски, ошибки или падения устройства;
• изменение прошивки без заявки на обслуживание;
• отключение сертификата, HTTPS или настроек безопасной печати.

При подозрении на компрометацию не начинайте со сброса настроек. Сначала изолируйте устройство от сети, сохраните логи, конфигурацию и сведения о версии прошивки. Это поможет понять масштаб инцидента и не потерять следы атаки.

Частые вопросы

Нужно ли отключать Wi‑Fi у всех принтеров

Нет, если беспроводное подключение необходимо. Но Wi‑Fi Direct и отдельные беспроводные функции стоит отключить, когда ими не пользуются. Принтер должен подключаться к выделенной корпоративной сети с контролируемым доступом, а не создавать независимую открытую точку подключения.

Безопасен ли порт 631

Порт 631 используется IPP и IPPS. Сам номер порта не является уязвимостью. Риск появляется, когда сервис доступен из недоверенной сети, не использует TLS или настроен без аутентификации. Для защищённой печати применяйте IPPS и ограничивайте доступ правилами межсетевого экрана.

Достаточно ли сменить пароль администратора

Нет. Смена пароля важна, но не заменяет обновление прошивки, сегментацию сети, отключение неиспользуемых сервисов, настройку шифрования и контроль доступа к заданиям печати.

Может ли принтер хранить копии документов

Да, особенно многофункциональные устройства с внутренним хранилищем. Конкретное поведение зависит от модели и настроек. Для устройств, обрабатывающих чувствительные документы, нужно проверить правила хранения и очистки заданий.

Нужно ли обновлять принтеры так же регулярно, как серверы

Да. Сетевые принтеры являются частью ИТ-инфраструктуры и должны входить в реестр активов, процесс обновления и план реагирования на инциденты.

Вывод

Принтер не является «просто периферией». Это сетевое устройство, которое получает документы, хранит конфигурацию, взаимодействует с рабочими станциями и иногда имеет доступ к внутренним сервисам компании.

Безопасность принтеров начинается с базовых мер: инвентаризации, обновления прошивки, смены заводских паролей, отдельного VLAN, запрета доступа из интернета и отключения ненужных сервисов. Для документов с персональными и коммерческими данными добавьте шифрованную печать, безопасную выдачу заданий и контроль внутреннего хранилища.

Источники

• CERT/CC: CVE-2026-13753 в принтерах HP DeskJet 2800 Series
• Epson: CVE-2026-73542 и обновление корневых сертификатов
• CUPS: рекомендации по защите сервера печати
• CUPS: протоколы сетевой печати и настройки IPP/IPPS
• RFC 7472: IPP over HTTPS