文書が丸見えのケースも

写真1●ハッカー向け検索サイト「SHODAN」を使うとEWSを検索可能
写真1●ハッカー向け検索サイト「SHODAN」を使うとEWSを検索可能
特定の文字列を使って検索すると複合機の管理画面に簡単にアクセスできてしまう。
[画像のクリックで拡大表示]

 複合機を使ってスキャンやコピー、プリントアウトした文書が、外部から見えてしまうという問題もある。“ハッカー御用達”の検索エンジン「SHODAN」(http://www.shodanhq.com/)を使うと、簡単に複合機の管理画面にアクセスできてしまう(写真1)。

 SHODANはオンラインデバイスを機種別、国別に一覧表示するサービスで、トップ画面に「Expose Online Devices」(オンラインデバイスを暴く)との表示があるように、インターネットに接続されているWebカメラや複合機などのデバイスを検索できる。

 メーカー、機種ごとに固有の文字列をSHODANに入力して検索すれば、指定したメーカー、機種のデバイスが国別で何台オンライン状態にあるか分かる。さらに、その一覧から個別の複合機にアクセスできる。SHODANで検索するだけで、EWS上で動作するWebサイト(複合機の管理画面)のトップページまでたどりつけるのだ。

写真2●複合機のネットワーク設定は簡単に検索可能
写真2●複合機のネットワーク設定は簡単に検索可能
エトキ
[画像のクリックで拡大表示]
写真3●複合機の管理画面に入るとスキャンイメージまで丸見えに
写真3●複合機の管理画面に入るとスキャンイメージまで丸見えに
メーカーや機種、設定状況によって異なるが、複合機で印刷やスキャンした印刷物をPDF形式などでダウンロードできることがある。
[画像のクリックで拡大表示]

 管理画面では様々な情報を取得できる。ある複合機では、複合機自身のIPアドレスやMACアドレスのほか、プロキシーサーバーやデフォルトゲートウエイのIPアドレスなどが見えてしまう状態だった(写真2)。企業ネットワークの構造を把握できる、攻撃者にとっては“おいしい情報”である。さらに「イメージライブラリ」などの項目を開けば、その複合機でスキャンしたイメージやプリントアウトしたイメージが外部から丸見えになる(写真3)。

 もちろん、これらの情報へのアクセスはパスワードを使って保護できる。しかし筆者が調べた範囲では、大半は保護がなされていなかったり、パスワードがデフォルト設定のままになっていたりするようだ。デフォルトのパスワードは、「  」(ブランク)、「111111」「123456」「Admin」といった冗談のようなものがほとんど。しかも、デフォルトパスワードはオンラインマニュアルに記載されており、誰でも知ることができる。

 複合機の管理画面はGoogle検索でも見つかる。手順は簡単だ。管理画面トップのタイトルに含まれるキーワードを検索するだけでいい。具体的なキーワードはここでは書かないが、検索するとたくさんの複合機の管理画面を見つけられる。

 以上のように、多くの複合機は危険性が放置されている状態にある。複合機やWebカメラは総務部門が主体で導入して、システム部門が関与しないことが多い。システム部門は総務部門と連携して、再度オンラインデバイスの点検を行うことを推奨する。

山崎 文明(やまさき ふみあき)
ネットワンシステムズ フェロー
大手外資系会計監査法人でシステム監査に永年従事。システム監査、情報セキュリティ、個人情報保護に関する専門家として情報セキュリティに関する政府関連委員会委員を歴任。主な著書に「PCIデータセキュリティ基準完全対策」(日経BP社監修)、「すべてわかる個人情報保護」(日経BP社)、「情報セキュリティと個人情報保護完全対策」(日経BP社)、「情報セキュリティハンドブック」(オーム社共著)、「システム監査の方法」(中央経済社共著)、「コンティンジェンシー・プランニング」(日経BP社共著)、セキュリティマネジメント・ハンドブック(日刊工業新聞社共著)などがある。ブログも随時更新中。