コピー機にも不正アクセスはある？複合機の情報漏洩リスクと対策を解説

企業を狙った不正アクセスやランサムウェア、情報漏洩のニュースが相次いでいます。

パソコンやサーバーのセキュリティ対策は行っていても、意外と見落とされやすいのが、コピー機・複合機のセキュリティです。

現在の複合機は、コピーするだけの機械ではありません。パソコンやサーバー、メール、共有フォルダー、クラウドなどと接続する「ネットワーク機器」です。

そのため、設定や管理が不十分な場合には、複合機も不正アクセスや情報漏洩の対象になる可能性があります。

コピー機にも不正アクセスはあるのか？

結論からいうと、複合機にも不正アクセスのリスクはあります。

現在の業務用複合機には、一般的に次のような機能があります。

• パソコンからのネットワーク印刷
• 共有フォルダーへのスキャン送信
• メールへのスキャン送信
• FAXの送受信
• Webブラウザからの設定変更
• アドレス帳やユーザー情報の管理
• 本体ストレージへの文書保存
• メーカーや保守会社によるリモート管理

便利な機能が増えた一方で、ネットワークへの接続方法や管理者設定が適切でなければ、外部や社内の第三者からアクセスされる危険性があります。

複合機業界の団体であるJBMIAも、外部からの不正アクセスによって保存文書が盗み見られる、設定を変更される、機密文書を持ち出されるといった事例を紹介しています。

複合機から漏洩する可能性がある情報

複合機は、業務上のさまざまな情報を取り扱っています。

コピー・プリント・スキャンした文書

複合機は処理のために、コピー、プリント、スキャンしたデータを内蔵ストレージへ一時的に保存することがあります。

機種や設定によっては、文書ボックスや保存領域にデータが残っている場合もあります。

取り扱う文書には、次のような機密情報が含まれる可能性があります。

• 顧客名簿
• 契約書
• 見積書や請求書
• 給与明細
• 人事・採用情報
• マイナンバーを含む書類
• 医療・介護関係の情報
• 設計図や社内資料

アドレス帳や送信履歴

複合機には、FAX番号、メールアドレス、送信先の会社名、共有フォルダーなどが登録されています。

これらが外部へ漏れると、営業秘密の流出だけでなく、取引先を狙ったなりすましメールや標的型攻撃に悪用される可能性もあります。

ネットワーク設定や認証情報

スキャンデータをパソコンやNASへ保存するため、複合機に接続先や認証情報が登録されていることがあります。

適切に保護されていなければ、社内ネットワークの構成を調べる手掛かりにされる可能性があります。

印刷された紙

情報漏洩は、サイバー攻撃だけで起こるわけではありません。

出力した機密文書を排紙トレイに放置し、関係のない人が持ち去ることも、複合機から発生する代表的な情報漏洩です。

どのような複合機が狙われやすい？

特に注意したいのは、次のような状態です。

• 複合機がインターネットへ直接公開されている
• 管理画面へ社外からアクセスできる
• 管理者パスワードが初期設定のまま
• 簡単に推測できるパスワードを使用している
• ファームウェアを長期間更新していない
• 不要な通信機能やポートが有効になっている
• 誰でも複合機の設定を変更できる
• 保存文書をユーザー認証なしで閲覧できる
• 古い通信方式を使い続けている
• 廃棄・返却時にデータを消去していない

「社内に置いてあるから安全」とは限りません。無線LANや社内ネットワークへ侵入された場合、そこから複合機を調べられる可能性もあります。

対策1：複合機をインターネットへ直接公開しない

最も重要な対策の一つが、複合機をインターネットへ直接接続・公開しないことです。

複合機は、ファイアウォールやルーター、UTMの内側に設置し、外部から直接アクセスできない構成にします。

JBMIAも、複合機をファイアウォールやルーターを介してネットワークへ接続し、IPフィルタリングによって利用できる端末を制限する対策を案内しています。

社外から複合機や社内ネットワークへ接続する必要がある場合は、管理画面をそのまま公開せず、VPNなどの安全な接続方法を検討しましょう。

対策2：管理者パスワードを変更する

複合機には、パソコンのブラウザから設定を変更できる管理画面が用意されています。

管理者パスワードが初期設定のままだと、第三者にログインされ、次のような操作を行われる恐れがあります。

• ネットワーク設定の変更
• アドレス帳の閲覧・変更
• 保存文書の確認
• スキャン送信先の変更
• セキュリティ機能の無効化
• 複合機の利用妨害

メーカーも、工場出荷時のパスワードは必ず変更し、管理者だけが管理するよう案内しています。

管理者パスワードには、会社名、電話番号、機種名など、推測しやすい文字列を使わないようにしましょう。

対策3：ファームウェアを最新にする

複合機にも、機器を制御するファームウェアが搭載されています。

パソコンのWindows Updateと同じように、複合機でも不具合や脆弱性への対応として更新プログラムが提供されることがあります。

古い複合機を長期間使用している場合は、次の点を販売店や保守会社へ確認しましょう。

• 現在のファームウェアが最新か
• セキュリティ更新が提供されているか
• メーカーのサポート期間内か
• 古い通信方式を使用していないか

保守契約の内容によっては、ファームウェアを自動的に更新する機能やリモート管理サービスを利用できる場合もあります。

対策4：使用していない機能を無効にする

複合機には、さまざまな通信機能が搭載されています。

しかし、使用していない機能まで有効にしておく必要はありません。

• FTP
• Telnet
• 不要なWeb管理機能
• 古いSMB通信
• 使用していない無線LAN
• 不要なクラウド連携
• 古いSNMP設定

利用していない機能や通信ポートを無効にすることで、不正アクセスに使われる入口を減らせます。

ただし、誤って無効にすると印刷やスキャンが使えなくなる場合があります。設定変更は、販売店やネットワーク管理者へ相談して行うことをおすすめします。

対策5：アクセスできる端末や利用者を制限する

複合機のIPフィルタリングやユーザー認証機能を利用すると、特定のパソコンや社員だけに利用を制限できます。

機種によっては、次のような管理も可能です。

• 社員ごとのログイン認証
• ICカードによる認証
• 部門ごとの利用制限
• カラー印刷の権限制限
• スキャン・FAX機能の制限
• アドレス帳の閲覧制限
• 操作履歴・ジョブ履歴の記録

誰でも自由に設定変更や文書閲覧ができる状態を避け、必要な人に必要な権限だけを与えることが大切です。

対策6：機密文書には認証印刷を使う

機密文書を印刷する場合は、「認証印刷」「セキュアプリント」「プライベートプリント」などの機能が有効です。

パソコンから印刷を実行してもすぐには出力せず、複合機の前で暗証番号やICカードによる認証を行ってから印刷します。

これにより、次のような情報漏洩を防ぎやすくなります。

• 印刷物の取り忘れ
• 他人による持ち去り
• 印刷先の選択間違い
• 長時間の排紙トレイへの放置

特に、人事、経理、医療、介護、士業など、機密情報を扱う会社では積極的に利用したい機能です。

対策7：ストレージの暗号化とデータ上書き消去

業務用複合機の中には、内蔵HDDやSSDへ保存するデータを暗号化したり、処理後のデータを自動的に上書き消去したりできる機種があります。

データ暗号化を行えば、仮にストレージが取り外された場合でも、保存内容を読み取られにくくできます。

また、コピー・プリント・スキャン処理後の一時データを上書きすることで、削除済みデータの復元リスクを抑えられます。

ただし、これらの機能が標準搭載かオプションかは、メーカーや機種によって異なります。

対策8：入替・返却・廃棄時にデータを消去する

複合機を入れ替える際は、本体を撤去するだけでなく、保存されているデータの消去が必要です。

確認すべきデータには、次のようなものがあります。

• 保存文書
• アドレス帳
• FAX送受信データ
• 認証情報
• ネットワーク設定
• ユーザー情報
• ジョブ履歴
• スキャン送信先
• 各種クラウド連携設定

リース会社や販売店へ返却する場合も、初期化やデータ消去がどのように行われるのか確認しましょう。

必要に応じて、データ消去証明書を発行できるかどうかも確認すると安心です。

対策9：ルーターやUTMを含めてネットワーク全体を守る

複合機本体の設定だけで、すべての攻撃を防げるわけではありません。

複合機はパソコン、NAS、サーバーなどと同じネットワークにつながっているため、オフィス全体でのセキュリティ対策が必要です。

• ルーターやUTMの適切な設定
• 不要な外部通信の遮断
• 社内用と来客用Wi-Fiの分離
• 機器ごとのアクセス制限
• ネットワーク通信の監視
• パソコンのウイルス対策
• 定期的なバックアップ
• 不審なアクセスログの確認

可能であれば、複合機やIoT機器をパソコン・サーバーとは別のネットワークへ分ける方法も有効です。

すぐに確認したいチェックリスト

社内の複合機について、次の項目を確認してみましょう。

• 管理者パスワードを初期設定から変更している
• 管理者パスワードを担当者だけが管理している
• 複合機がインターネットへ直接公開されていない
• ファイアウォールまたはUTMの内側に設置されている
• ファームウェアが最新になっている
• 使用していない通信機能を無効にしている
• 保存文書にアクセス制限を設定している
• 機密文書に認証印刷を利用している
• HDD・SSDの暗号化や上書き消去を確認している
• 入替時のデータ消去方法が決まっている

一つでも分からない項目があれば、複合機の販売店や社内のネットワーク管理者へ確認することをおすすめします。

まとめ

複合機は、コピーや印刷だけを行う機械ではなく、社内ネットワークにつながる情報機器です。

設定が不十分な場合には、保存文書の閲覧、アドレス帳の流出、設定の不正変更、印刷物の持ち去りなどが発生する可能性があります。

一方で、次のような基本対策を行えば、リスクを大きく下げられます。

• インターネットへ直接公開しない
• 管理者パスワードを変更する
• ファームウェアを最新にする
• 不要な通信機能を無効にする
• ユーザー認証やIP制限を利用する
• 認証印刷を活用する
• ストレージを暗号化・上書き消去する
• 廃棄・返却前にデータを消去する

フレンドネットワークスでは、複合機の設定だけでなく、UTM、NAS、ルーター、Wi-Fiなどを含めたオフィスネットワーク全体の確認にも対応しています。

フレンドネットワークスへのお問い合わせ