Firewall masz. Antywirusa masz. A kto pilnuje drukarki?

Wyobraź sobie taki scenariusz. Twoja firma ma porządne zabezpieczenia: firewall, EDR na laptopach, politykę haseł, może nawet szkolenie z phishingu raz w roku. Audytor IT kiwa głową z uznaniem.

A gdzieś w kącie open space stoi urządzenie podłączone do firmowej sieci, z własnym adresem IP, dyskiem twardym i panelem administracyjnym zabezpieczonym hasłem „admin123” ustawionym fabrycznie w 2019 roku. Nikt go od tamtej pory nie ruszał. Po co — przecież drukuje.

To nie jest scenariusz z ćwiczeń red team. To jest opis przeciętnego biura w Polsce.

Niewidzialne urządzenie końcowe

Drukarki i urządzenia wielofunkcyjne (MFP) stały się w ostatniej dekadzie minikomputerami: mają własny system operacyjny, firmware, często wbudowany dysk i serwer WWW. Obsługują Wi-Fi, chmurę, skan-do-email, integracje z SharePointem. Przetwarzają listy płac, umowy, dokumentację medyczną, dane klientów.

A mimo to w dyskusjach o bezpieczeństwie firmowej infrastruktury niemal nie istnieją.

Quocirca — niezależna firma badawcza specjalizująca się w rynku druku — opublikowała w 2024 roku raport Print Security Landscape, obejmujący organizacje w USA i Europie. Wyniki są nieprzyjemne w lekturze: 67% organizacji doświadczyło w ostatnim roku co najmniej jednego incydentu utraty danych związanego z niezabezpieczonym drukiem. Rok wcześniej było to 61%. Średni koszt takiego incydentu urósł z £743 tys. do ponad £1 mln.

To nie są dane z laboratorium. To są firmy, które komuś musiały tłumaczyć, skąd wyciekł kontrakt albo lista klientów.

Shadow printing: nowa dziura w polityce IT

Praca hybrydowa przyniosła problem, którego nikt nie zaplanował.

Pracownik drukuje z domu. Na własnej drukarce, podłączonej do domowego routera, pewnie z niezmienionym hasłem od instalacji przez operatora. Dokument — powiedzmy projekt umowy lub raport finansowy — ląduje w pamięci urządzenia i w podajniku, przy którym stoi też dziecko, partner, może gosposia. Albo zostaje w kolejce druku i nikt go nie odbiera.

Quocirca nazywa to zjawisko shadow printing — drukiem poza kontrolą IT — i odnotowuje jego dynamiczny wzrost. W 2023 roku urządzenia pracownicze jako źródło zagrożenia wskazywało 21% respondentów. W 2024 — już 33%. To nie jest wzrost marginalny. To jeden z najszybciej rosnących wektorów ryzyka w całym obszarze bezpieczeństwa informacji.

W praktyce oznacza to, że firmowa polityka bezpieczeństwa ma dziurę dokładnie tam, gdzie praca stała się normalna — w domowych biurach pracowników.

Firmware z poprzedniej epoki

Wróćmy do urządzenia z kąta open space. Co konkretnie może pójść nie tak?

Nowoczesna drukarka sieciowa to węzeł w infrastrukturze IT: widzi ruch w sieci, przechowuje kopie skanowanych dokumentów, udostępnia interfejs przez przeglądarkę. Jeśli firmware nie był aktualizowany od lat — a często nie był, bo nikt nie wpadł na pomysł, żeby aktualizować drukarkę — lista znanych podatności jest publiczna i długa. Jeśli hasło administratora jest fabryczne — a Quocirca wskazuje ten problem jako jeden z głównych — każdy, kto wie jak sprawdzić model urządzenia, może wejść do panelu zarządzania.

Raport podaje, że 65% przedstawicieli MŚP przyznaje, iż niepokoi ich stan zabezpieczeń drukarek — zarówno przestarzały firmware, jak i niezmieniane hasła domyślne. Niepokoją się, ale nie działają. To jest właśnie ta luka.

Żeby nie było abstrakcyjnie: podatny węzeł w sieci to potencjalny punkt wejścia do całej infrastruktury. Atakujący rzadko uderzają tam, gdzie spodziewasz się ataku. Uderzają tam, gdzie nikt nie patrzy.

80% firm to „laggards”

Quocirca zbudowała Print Security Maturity Index — indeks dojrzałości w zakresie bezpieczeństwa druku. Klasyfikacja jest prosta: Leader, Follower, Laggard.

Wyniki są wymowne: tylko 20% organizacji trafia do kategorii Liderów, czyli takich, które wdrożyły co najmniej sześć środków bezpieczeństwa. Reszta — 80% — to Followers i Laggards. We Francji, gdzie wskaźnik Laggardów jest najwyższy, do grona Liderów trafia zaledwie 14% firm.

Warto zaznaczyć, że raport jest licencjonowany przez HP i w naturalny sposób promuje rozwiązania tego producenta. Dane Quocirca są jednak zbierane niezależnie i obejmują cały rynek — nie tylko klientów HP. Liczby są więc wiarygodnym obrazem branży, nie materiałem marketingowym.

Co odróżnia Liderów od reszty? Regularność. Aktualizacje firmware jak w przypadku każdego innego urządzenia. Zmiana domyślnych haseł. Monitorowanie kto, kiedy i skąd drukuje. Włączenie drukarek w zakres audytów bezpieczeństwa. Żadna z tych czynności nie jest technicznie trudna. Wszystkie wymagają decyzji, że drukarka to nie mebel — tylko urządzenie końcowe.

Kto powinien to naprawić?

Tu pojawia się interesujące napięcie. Raport Quocirca ujawnia rozbieżność między CIO a CISO w tej samej organizacji. CIO bardziej martwi się niezabezpieczonymi drukarkami domowymi (52% vs 32% CISO). CISO częściej przyznaje, że zarządzanie bezpieczeństwem druku jest trudne (41% vs 34% CIO). Obaj planują zwiększyć budżety na ten obszar.

Ale dopóki nikt konkretnie nie jest właścicielem problemu — problem nie ma właściciela. A drukarka dalej stoi w kącie z hasłem „admin123”.

Dla właściciela MŚP przekładanie się tych statystyk na praktykę jest stosunkowo proste. Trzy pytania wystarczą na dobry start: kiedy ostatnio aktualizowano firmware we wszystkich urządzeniach drukujących? Czy ktoś sprawdził, jakie hasła są ustawione w panelach administracyjnych? Czy polityka bezpieczeństwa obejmuje urządzenia, na których drukują pracownicy z domu?

Jeśli odpowiedź na każde z nich brzmi „nie wiem” — to jest właśnie ta luka, o której mówi raport.

Warto zanotować:

Cyberbezpieczeństwo to nie tylko to, co zabezpieczasz świadomie. To też to, o czym zapomniałeś — bo było za mało widoczne, żeby o tym myśleć. Drukarka jest najlepszym przykładem urządzenia, które wszyscy widzą i nikt nie zauważa.

Dane: Quocirca, Print Security Landscape 2024 (US & Europe, N=500+, lipiec 2024). Raport dostępny w wersji pełnej na quocirca.com.