“Утечка данных, это не всегда хакерская атака. Чаще всего это цепочка мелких, почти невидимых ошибок, которые в сумме открывают дверь. История с принтером — идеальный пример того, как техническая небрежность встречается с человеческим фактором, а результат оказывается в открытом доступе быстрее, чем ты успеваешь это осознать.”
Не принтер, а сетевой хранитель
Когда говорят об утечках данных, обычно представляют взломанные серверы, фишинговые письма или уязвимости в веб-приложениях. Принтер кажется безобидным периферийным устройством, которое просто печатает. На деле современный сетевой МФУ, это полноценный узел в корпоративной сети, часто со своей операционной системой, веб-интерфейсом, встроенным хранилищем и сетевыми службами. По умолчанию он настроен на максимальное удобство, а не безопасность.
В моём случае всё началось с рутинной задачи: выгрузить список клиентов для отчёта. База находилась во внутренней CRM. Выгрузка делалась в CSV — стандартная практика. Проблема была не в самом файле, а в том, что делать с ним дальше. Нужно было быстро распечатать пару страниц для совещания. Самый простой путь — отправить на принтер. Но какой принтер? В офисе их несколько, и тот, что был выбран по умолчанию в системе, оказался сетевым МФУ в общем отделе.
Отправка документа на печать, это не мгновенный процесс. Драйвер преобразует данные в язык принтера (чаще всего PCL или PostScript) и передаёт их на устройство. Если принтер занят другой задачей или находится в режиме ожидания, документ попадает в его внутреннюю очередь. Многие модели, особенно корпоративного класса, сохраняют задания печати во временной памяти или даже на встроенном жёстком диске для последующей обработки. Это сделано для надёжности: если принтер выключится, задание не пропадёт. По умолчанию эта память редко очищается автоматически.
Я отправил файл и пошёл к устройству. Оказалось, что оно зависло на предыдущем задании. Перезагрузка заняла пару минут. Пока я ждал, задание с CSV-файлом благополучно сохранилось во внутренней памяти принтера. После перезагрузки оно не исчезло. Но я, так и не дождавшись печати (решив, что задание «слетело»), вернулся к себе и отправил документ на другой принтер. А первое задание так и осталось висеть в памяти сетевого МФУ, ожидая обработки. На этом первый этап утечки был завершён: конфиденциальные данные покинули контролируемую среду рабочей станции и оказались на устройстве с сетевым доступом.
Открытый порт и стандартный пароль
Следующий шаг к катастрофе был предопределён настройками самого устройства. Сетевые принтеры и МФУ для удобства администрирования имеют веб-интерфейс. Доступ к нему осуществляется по IP-адресу устройства. В моей организации не было принято менять стандартные учётные данные для доступа к такой периферии. Для конкретной модели стандартной парой был admin/admin.
Более того, в целях упрощения работы сетевыми службами IT-отдел не блокировал доступ к веб-интерфейсам принтеров из внутренней сети. Любой сотрудник, зная IP-адрес устройства, мог зайти в его настройки. Но внутренняя сеть — понятие условное. Если у сотрудника есть доступ к корпоративному VPN, то с его устройства внутренняя сеть компании становится доступна удалённо. А если политики безопасности не запрещают доступ к сетевым устройствам по определённым портам извне, то риск возрастает.
Я не проверял настройки безопасности этого МФУ. Зачем? Это же принтер. Оказалось, что на нём был открыт порт 9100 (RAW-печать) и порт 80 (веб-интерфейс) для всей внутренней подсети. А благодаря настройкам маршрутизации и отсутствию сегментации сети, из определённых VLAN доступ к этой подсети тоже был возможен. Устройство не было изолировано.
Критической стала возможность через веб-интерфейс просматривать и управлять очередью печати. В разделе «Job Log» или «Print History» часто хранятся не только метаданные заданий, но иногда и сами документы в виде временных файлов. В зависимости от прошивки и модели, можно было просмотреть детали задания, а в некоторых случаях — даже повторно отправить его на печать или скачать.
Как данные попадают в открытый доступ
Сам по себе принтер с открытым веб-интерфейсом во внутренней сети, это уже инцидент. Но данные всё ещё внутри периметра. Чтобы они стали публичными, нужен вектор утечки наружу. Им стал не злоумышленник, а автоматизированный процесс сканирования интернета.
Существуют поисковые системы и сканеры, которые постоянно обходят IP-адреса в интернете, проверяя открытые порты и службы. Их цель — составить карту сетевых устройств. Некоторые из них специализируются на конкретных типах устройств: веб-камерах, сетевым хранилищам, принтерам. Они ищут ответы от веб-серверов, определяют модель по заголовкам и сохраняют найденные адреса в базы данных.
Если корпоративный VPN или ошибочная настройка маршрутизатора на короткое время «прокинули» порт устройства во внешнюю сеть (такое случается при смене конфигураций или ошибках в правилах файрвола), сканер может обнаружить веб-интерфейс принтера. Он не взламывает его, а просто фиксирует факт доступности. Адрес может попасть в список открытых устройств, которые потом агрегируются на специализированных форумах или в Telegram-каналах.
Именно так и произошло. IP-адрес нашего МФУ попал в такую базу. Кто-то выложил её дамп на форум, посвящённый сетевым технологиям и уязвимостям, в разделе «Открытые устройства». Там не было злого умысла против конкретной компании — просто техническая информация: «Список IP с открытым портом 9100 и веб-интерфейсом на порту 80». К этому списку часто прилагаются скрипты для автоматической проверки или инструкции.
Три минуты поиска
Осознание пришло позже, почти случайно. Коллега из отдела информационной безопасности как-то в разговоре упомянул, что проверяет наличие утечек, мониторя подобные форумы. Меня это заинтересовало. Решил провести мысленный эксперимент: а можно ли найти что-то про нашу компанию?
Поиск на форуме по названию компании не дал результатов. Тогда я решил пойти от обратного: найти списки открытых сетевых устройств в нашем регионе. Нашёл свежий тред. Скачал прикреплённый текстовый файл. Это был простой список IP-адресов, по одному на строку. Никаких названий компаний, только адреса.
Первым делом я проверил, принадлежат ли какие-то из этих адресов пулу нашей организации. Для этого нужно было сравнить их с диапазонами наших внешних IP. Эти данные не являются секретными — их можно узнать через различные сетевые утилиты, зная доменное имя компании. Получив несколько наших основных адресов, я начал визуальное сравнение со списком. Один из адресов из списка совпал с диапазоном, который использовался для VPN-подключений сотрудников.
Следующим шагом была прямая проверка. Я вставил этот IP-адрес в строку браузера. Открылась страница входа в веб-интерфейс… знакомой модели МФУ. Того самого, в общем отделе. Сердце упало. Попробовал стандартные учётные данные: admin/admin. Интерфейс открылся. В меню нашёл раздел «Job Log» или «Журнал заданий». И там, среди прочих задач за последние дни, висел мой документ с названием «clients_export.csv». Предварительный просмотр был недоступен, но в деталях задания был указан размер файла и имя пользователя, отправившего его — моё.
Всё это заняло не больше трёх минут. Открытия форума, скачивания списка, проверки адреса и входа в интерфейс. Данные не были опубликованы в явном виде, но путь к ним был абсолютно прозрачен для любого, у кого оказался этот список IP и минимальное любопытство.
Что происходит с данными на таких устройствах
Чтобы оценить масштаб риска, нужно понимать, как данные хранятся на МФУ. Временные файлы заданий печати могут сохраняться в разных местах:
- В оперативной памяти (RAM). Данные очищаются после перезагрузки устройства.
- На встроенном жёстком диске (HDD). Многие модели используют диск для буферизации больших заданий, хранения журналов и сканов. Данные на диске могут сохраняться до его заполнения или ручной очистки.
- Во флеш-памяти (NAND). Аналогично диску, но с меньшим объёмом.
Безопасность этих данных редко кем-то рассматривается. На многих устройствах нет полноценного шифрования хранилища. Если извлечь физический диск из принтера и подключить его к компьютеру, можно получить доступ к файлам. Но в нашем случае физический доступ не требовался — достаточно было сетевого.
Через веб-интерфейс часто доступны функции управления памятью. В некоторых моделях можно очистить очередь, удалить временные файлы или даже выполнить сброс устройства к заводским настройкам. Но если злоумышленник получил доступ, он, наоборот, может скачать эти временные файлы, если прошивка это позволяет, или отправить задание на печать на другой, контролируемый им принтер.
Последствия для компании и 152-ФЗ
С точки зрения регуляторики, эта ситуация подпадает под действие 152-ФЗ «О персональных данных». База клиентов почти наверняка содержит персональные данные: ФИО, номера телефонов, адреса электронной почты, а иногда и больше.
Факт размещения таких данных на устройстве, доступном из интернета (пусть и на короткое время), с стандартными учётными данными, является нарушением требований к безопасности персональных данных. В частности, это нарушает принцип конфиденциальности и указывает на отсутствие должного контроля за обрабатывающей инфраструктурой.
Если бы об этом узнал регулятор (Роскомнадзор), компании мог грозить штраф. Но более серьёзными были бы репутационные последствия. Клиенты, узнав, что их данные могли быть доступны через интернет из-за принтера, потеряли бы доверие.
Для внутреннего расследования пришлось бы отвечать на неприятные вопросы: почему у сетевого устройства стандартный пароль? Почему его веб-интерфейс доступен из сетей, не предназначенных для администрирования? Почему не настроена очистка очереди печати? Почему сотрудник работал с базой клиентов вне защищённой среды CRM?
Как этого избежать: практические меры
История показала системные проблемы. Исправлять нужно не последствия, а процессы и настройки.
1. Инвентаризация и сегментация
Составьте полный список всех сетевых устройств: принтеров, МФУ, IP-камер, умных колонок. Выделите их в отдельный сегмент сети (VLAN). Настройте правила файрвола так, чтобы доступ к управляющим интерфейсам этих устройств (порты 80, 443, 23, 9100-9102) был возможен только с определённых доверенных адресов (например, с IP-адресов администраторов или сервера управления печатью). Запретите доступ к этим портам из VPN-подсетей для обычных пользователей.
2. Жёсткая настройка устройств
- Смените все стандартные пароли на сложные. Включите аутентификацию для доступа к веб-интерфейсу и настройкам по протоколу SNMP, если он используется.
- Отключите неиспользуемые сетевые службы и протоколы (например, FTP, Telnet).
- Включите, если поддерживается, шифрование данных при передаче по сети (IPPS вместо IPP, HTTPS вместо HTTP).
- Настройте автоматическую очистку очереди печати и временных файлов после выполнения задания или по расписанию.
- Регулярно обновляйте прошивки устройств.
3. Безопасная работа с данными
Ограничьте возможность выгрузки массивов персональных данных из основных систем. Если выгрузка необходима, используйте защищённые каналы и временные хранилища с автоматическим удалением файлов. Внедрите систему DLP для контроля за перемещением конфиденциальных файлов, в том числе и на печать. Настройте политики печати, запрещающие отправку заданий на общедоступные принтеры при работе с определёнными типами данных.
4. Мониторинг и реагирование
Включите сетевые устройства в систему мониторинга. Отслеживайте необычную активность: множественные попытки входа, доступ к управляющим интерфейсам с недоверенных IP. Регулярно (хотя бы раз в квартал) проводите сканирование собственных внешних IP-адресов на предмет неожиданно открытых портов, особенно связанных с управлением устройствами. Мониторьте специализированные форумы и источники на предмет упоминания IP-адресов вашей организации в подобных списках.
Вывод
Утечка через принтер, это симптом, а не болезнь. Симптом того, что безопасность рассматривается как задача для серверов и баз данных, в то время как периферия остаётся слепой зоной. Это история о том, как цепочка из мелких допущений (удобный принтер по умолчанию, стандартный пароль, отсутствие сегментации, временная ошибка маршрутизации) привела к тому, что конфиденциальные данные оказались в одном шаге от публикации. Обнаружение заняло три минуты не потому, что я был гением, а потому, что путь к данным был проложен заранее нашими же руками. Главный урок: безопасность, это про каждое устройство в сети, особенно про то, которое кажется самым безобидным.