Comment protéger son imprimante des cyberattaques ?

Une imprimante professionnelle n’est plus un simple périphérique de bureau. C’est un équipement connecté au réseau, doté d’un système embarqué, d’une interface web, d’une mémoire interne, parfois d’un disque dur ou SSD, de fonctions de scan, d’envoi par e-mail, de stockage temporaire et d’accès à distance.

Cette évolution en fait un point sensible pour la cybersécurité des entreprises. Une imprimante mal configurée peut exposer des documents confidentiels, servir de point de rebond vers le réseau interne ou devenir une porte d’entrée pour une cyberattaque plus large.

La menace n’est pas théorique. En 2025, HP a publié un bulletin de sécurité sur certaines imprimantes LaserJet Pro, Enterprise et Managed, vulnérables à une exécution de code à distance et à une élévation de privilèges lors du traitement de travaux d’impression PostScript.

Ce guide TEEMIO détaille les principales failles de sécurité des imprimantes, les scénarios d’attaque les plus fréquents et les mesures à appliquer pour rendre un parc d’impression plus résistant aux cyberattaques.

Pourquoi les imprimantes sont une cible de cyberattaques ?

Dans les politiques de sécurité informatique, la priorité est traditionnellement accordée aux postes de travail, aux serveurs, aux accès distants et aux environnements cloud. Ces éléments font l'objet d'audits réguliers, de protocoles de sécurité avancés et de mises à jour maîtrisées. En revanche, les imprimantes connectées sont rarement perçues comme des points sensibles.

Une imprimante n'est plus un simple périphérique

Une imprimante professionnelle moderne fonctionne comme un véritable équipement réseau, comparable à un petit ordinateur. Elle peut intégrer :

• un système d'exploitation embarqué, avec sa propre pile logicielle ;
• un accès au réseau local, en filaire ou en Wi-Fi ;
• une mémoire persistante, avec disque dur ou SSD intégré, qui conserve une trace des documents traités ;
• des fonctions de scan vers e-mail, dossier réseau ou cloud ;
• des modules de communication à distance : supervision, fax IP, connecteurs métiers ;
• une interface web d'administration, parfois exposée par défaut ;
• des ports USB ou services réseau activés selon la configuration.

Comme l'expliquait Timo Hirvonen de F-Secure dès 2021, « les entreprises oublient souvent que les imprimantes multifonctions ne sont ni plus ni moins que des ordinateurs entièrement fonctionnels. Elles sont piratables au même titre que des postes de travail ou d'autres endpoints. »

Le constat côté collaborateurs

Le risque ne vient pas seulement de la configuration technique. Il vient aussi du manque de sensibilisation des collaborateurs. Une étude Sharp Europe menée par Censuswide a notamment révélé que :

• 48 % des collaborateurs ignorent qu'une imprimante peut être piratée ;
• 55 % ignorent qu'un document peut y être intercepté par un pirate ;
• 52 % des MFP en entreprise sont en libre-usage sans authentification ;
• 40 % des collaborateurs n'ont jamais été formés à l'usage sécurisé des MFP ;
• 31 % ne savent pas que l'entretien doit être confié à du personnel habilité.

C'est dans cet écart entre la sophistication technique des MFP et le faible niveau de vigilance organisationnel que les cyberattaquants trouvent un terrain de jeu privilégié.

Les failles de sécurité les plus fréquentes sur les imprimantes

Les cyberattaques sur imprimantes professionnelles exploitent rarement une seule faille. Elles s'appuient souvent sur une accumulation de négligences. Ces failles sont parfois invisibles pour les utilisateurs, mais elles peuvent transformer un photocopieur multifonction en point d'entrée vers le système d'information.

Les ports réseau ouverts inutilement

Un port réseau est une sorte de porte d'entrée numérique par laquelle l'imprimante communique avec les autres équipements. Par défaut, les imprimantes en activent plusieurs pour assurer la compatibilité avec différents environnements : impression, scan, supervision, administration. Beaucoup restent ouverts inutilement et exposent l'équipement à des intrusions, à de l'écoute réseau ou à des usages non autorisés.

Un port « en clair » signifie que les informations circulent sans chiffrement, donc lisibles par quiconque écoute le réseau. Sur les MFP non durcis, ces ports sont souvent tous ouverts par défaut. Il ne s'agit pas de fermer tous les accès sans discernement, mais de conserver uniquement les services utiles, puis de sécuriser ceux qui restent actifs. Un simple outil de diagnostic réseau (comme Nmap) lancé depuis le réseau interne révèle l'étendue de l'exposition.

Les protocoles obsolètes et non chiffrés

Un protocole est le langage que les machines utilisent pour communiquer entre elles. Certains, anciens, n'offrent aucune protection et restent pourtant activés alors qu'ils ne répondent plus aux standards actuels :

• SMBv1 : protocole de partage de fichiers obsolète, connu pour avoir été exploité par l'attaque mondiale WannaCry en 2017 ;
• Telnet : communications en clair, mots de passe interceptables ;
• FTP en clair : transferts de fichiers non chiffrés ;
• SSL 2.0/3.0 et TLS 1.0/1.1 : anciennes versions des protocoles de chiffrement web, aujourd'hui à éviter ;
• SNMP v1/v2c : supervision avec mots de passe circulant en clair.

Le maintien de ces protocoles vient souvent d'anciennes configurations jamais revues. Lors d'un audit, ils doivent être désactivés ou remplacés par des versions plus sûres : HTTPS, SNMP v3, IPP over HTTPS ou filtrage par adresses autorisées.

Le firmware obsolète

Le firmware est le logiciel interne qui fait fonctionner l'imprimante, l'équivalent de son système d'exploitation. Comme tout logiciel, il reçoit régulièrement des mises à jour qui corrigent des failles de sécurité. Sans politique active de mise à jour, les MFP accumulent des vulnérabilités connues et exploitables.

Quelques exemples à prendre au sérieux. Une CVE (pour Common Vulnerabilities and Exposures) est l'identifiant officiel d'une faille de sécurité publiquement recensée :

• CVE-2021-39237 et CVE-2021-39238 : vulnérabilités HP MFP liées notamment à l'accès physique et à l'analyseur de polices ;
• CVE-2021-34527, connue sous le nom PrintNightmare : faille du gestionnaire d'impression de Windows permettant une exécution de code à distance ;
• CVE-2025-26506 : vulnérabilité critique sur certaines imprimantes HP LaserJet via des fichiers PostScript malveillants ;
• CVE-2025-5884 et CVE-2025-5885 : vulnérabilités affectant les interfaces web de MFP Konica Minolta et Develop.

Sur les imprimantes anciennes encore en service, certaines failles datent de plusieurs années sans correctif appliqué.

L'interface web d'administration

Chaque imprimante réseau possède une interface web d'administration : une page web, accessible via le navigateur, qui permet de la configurer à distance. C'est souvent l'angle d'attaque le plus simple :

• Identifiants par défaut non changés (admin/admin, admin/blank)
• Accès non chiffré en HTTP au lieu de HTTPS
• Authentification absente ou contournable
• Sessions qui restent ouvertes sans expiration
• Vulnérabilités permettant l'exécution de scripts non autorisés

Une étude menée sur des parcs d'entreprises a révélé que plus de 50 % des MFP en service utilisent encore les identifiants d'administration par défaut.

Le disque dur non chiffré

Les MFP modernes intègrent un disque dur qui stocke temporairement les documents traités. Sans chiffrement :

• Les données restent récupérables par accès physique
• En cas de revente ou mise au rebut, les documents sont exposés
• Les techniciens de maintenance non habilités peuvent accéder à l'historique
• Une analyse technique du disque révèle des mois de documents

C'est l'une des failles les plus documentées dans les sanctions CNIL liées aux imprimantes — sujet détaillé dans la mise en conformité RGPD de vos impressions.

Les ports physiques USB

Les ports USB présents sur la façade des MFP représentent un vecteur d'attaque souvent oublié :

• Insertion d'une clé contenant un programme malveillant qui s'exécute automatiquement
• Exfiltration de documents scannés directement vers la clé
• Réinstallation d'un firmware non autorisé via USB
• Détournement à des fins personnelles

L'absence de segmentation réseau

Segmenter le réseau consiste à le découper en zones isolées, comme des compartiments étanches, pour qu'un problème dans l'une ne contamine pas les autres. Sur les réseaux non segmentés, les imprimantes communiquent librement avec tous les postes de l'entreprise. Une imprimante compromise devient alors un point de rebond vers le reste du système d'information : accès aux serveurs internes, lecture du trafic réseau, propagation d'une machine à l'autre.

Les principaux scénarios de cyberattaque sur une imprimante

Comprendre comment les cyberattaquants exploitent ces failles permet de calibrer correctement les défenses.

L'attaque d'impression intersite

Les hackers incitent un utilisateur à visiter un site web malveillant. Le site déclenche automatiquement l'impression d'un document piégé qui exploite une faille dans la manière dont l'imprimante interprète le fichier. Résultat : exécution de code non autorisé sur l'imprimante, accès aux documents en file d'attente, vol d'identifiants.

Le ver qui se propage seul

Un ver (en anglais worm) est un programme malveillant capable de se reproduire et de se propager seul d'une machine à l'autre, sans intervention humaine. Certaines failles d'imprimantes permettent ce type d'attaque : un malware pirate une imprimante, puis se diffuse automatiquement à tous les autres MFP du même réseau. C'est le scénario le plus dangereux pour les grands parcs.

Le rebond vers le système d'information

Une imprimante compromise devient un avant-poste dans le réseau interne. Les attaquants l'utilisent pour :

• Écouter le trafic réseau non chiffré
• Voler des identifiants d'accès mis en mémoire pour la fonction « scan vers réseau »
• Lancer des attaques vers d'autres équipements
• Déployer un rançongiciel (ransomware, un programme qui bloque les données contre une rançon)
• Exfiltrer des données en passant sous le radar des outils de sécurité concentrés sur les postes de travail

 L'attaque PrintNightmare et dérivés

La faille PrintNightmare (CVE-2021-34527) a marqué un tournant : elle exploite le gestionnaire d'impression de Windows (le composant qui gère la file d'attente des impressions) pour exécuter du code à distance avec les privilèges les plus élevés. Plusieurs groupes de rançongiciels (Conti, Vice Society) l'ont intégrée à leurs outils. Même quatre ans après les premiers correctifs, des systèmes non mis à jour restent vulnérables.

L'attaque par fichier PostScript malveillant

Le PostScript est un langage utilisé pour décrire les pages à imprimer. Mise en lumière par la CVE-2025-26506, cette attaque consiste à envoyer un fichier d'impression spécialement piégé qui exploite une faille dans la façon dont l'imprimante interprète ce langage. L'imprimante exécute alors du code non autorisé en traitant simplement le travail d'impression.

Le détournement physique

Sans surveillance ni dispositifs anti-sabotage, les imprimantes peuvent être physiquement manipulées :

• Réinstallation d'un firmware piégé via port USB ou interface de maintenance
• Récupération du disque dur
• Installation d'enregistreurs de frappe (keyloggers) sur les ports
• Connexion à un réseau pirate via le port Ethernet

Les recommandations F-Secure incluent l'utilisation d'autocollants anti-sabotage et l'installation des MFP dans des zones sous vidéosurveillance.

Les conséquences d'une cyberattaque sur imprimante

Une imprimante compromise n'est pas un incident anodin. Les conséquences peuvent être lourdes.

Comment renforcer la cybersécurité d’une imprimante ?

La protection d'une imprimante professionnelle repose sur des mesures techniques et organisationnelles. Toutes ne demandent pas un projet complexe. Beaucoup relèvent d'un bon paramétrage initial et d'un suivi régulier.

Les mesures à impact fort

1. Isoler les imprimantes dans un VLAN dédié. Un VLAN est un réseau virtuel séparé, qui agit comme un compartiment étanche : même si une imprimante est compromise, l'attaque ne se propage pas au reste de l'entreprise. À compléter d'un pare-feu limitant les échanges aux seules fonctions utiles (impression, scan, supervision).
2. Désactiver tous les ports et protocoles inutiles : Telnet, FTP, SMBv1, SNMP v1/v2, SSL 2.0/3.0, TLS 1.0/1.1. Ne conserver que les versions sécurisées : HTTPS, IPP over HTTPS, SNMP v3 avec authentification.
3. Mettre en place une politique de mises à jour firmware : calendrier trimestriel minimum, abonnement aux bulletins de sécurité des constructeurs (HP, Canon, Ricoh, Sharp), application des correctifs critiques sous 30 jours.
4. Changer impérativement les identifiants d'administration par défaut et activer une authentification forte sur l'interface web (HTTPS, mot de passe complexe, expiration de session).

Les mesures complémentaires

5. Chiffrer le disque dur intégré du MFP (norme AES 256) et activer l'effacement sécurisé des fichiers temporaires après chaque impression — c'est-à-dire leur réécriture pour les rendre irrécupérables.
6. Désactiver les ports USB physiques ou les restreindre via une politique d'administration centralisée.
7. Activer le filtrage par adresse IP : seuls les ordinateurs autorisés (serveurs d'impression, postes administrateurs) peuvent accéder à l'interface d'administration.
8. Mettre en place une supervision active : un outil de centralisation des journaux (appelé SIEM) qui collecte les logs des MFP et alerte en cas de comportement anormal — par exemple des impressions massives en pleine nuit ou des scans vers des destinations inhabituelles.

Les mesures organisationnelles

9. Documenter la configuration de référence de chaque modèle de MFP et l'appliquer uniformément sur tout le parc.
10. Auditer le parc trimestriellement avec un outil de détection automatique de failles (Nessus, OpenVAS) pour repérer les écarts et les nouvelles vulnérabilités.
11. Restreindre l'accès physique aux MFP traitant des données sensibles (badge d'accès, vidéosurveillance, autocollants anti-sabotage).
12. Garantir un effacement sécurisé documenté en fin de vie ou avant restitution du matériel (notamment en location/leasing).

Pour la dimension organisationnelle complète (politique d'impression, formation utilisateurs, gouvernance), comment sécuriser ses impressions en entreprise présente le cadre global d'une politique de sécurité d'impression. Pour structurer la gouvernance opérationnelle, mettre en place une politique d'impression en entreprise détaille la méthode.

Intégrer les imprimantes dans une logique Zero Trust

Le Zero Trust (« confiance zéro ») est une approche de sécurité qui repose sur une règle simple : ne jamais faire confiance par défaut, toujours vérifier. Appliquée aux imprimantes, elle signifie que chaque accès doit être contrôlé : utilisateur, équipement, document, flux réseau et destination de scan.

Le Zero Trust appliqué à l’impression ne demande pas forcément un projet lourd. Pour une PME, les priorités restent concrètes : mots de passe robustes, mises à jour firmware, segmentation réseau, authentification utilisateur, impression sécurisée et suivi minimal des journaux d’activité.

Le choix du matériel : un facteur clé contre les cyberattaques

Le niveau de sécurité dépend aussi du matériel. Les photocopieurs professionnels récents intègrent davantage de fonctions de protection que les équipements d’entrée de gamme ou les anciens modèles. Les protections natives à privilégier :

Le choix du matériel détermine en grande partie le niveau de durcissement atteignable. Pour identifier les modèles offrant le meilleur niveau de protection native, choisir un photocopieur sécurisé présente le comparatif détaillé des gammes Sharp BP, Canon imageFORCE et Ricoh IM C.

• 26 VEN.

  Comment calculer et optimiser ses frais d'impression ?

• 29 LUN.

  Quelle imprimante pour architecte choisir en 2026 ?

• 15 LUN.

  Les modules de finition d'un photocopieur professionnel

• 28 DIM.

  Impression fantôme ou en double : comment les résoudre ?

• 28 DIM.

  Faut-il assurer son parc de photocopieurs ?

• 28 DIM.

  Que faire si votre prestataire en solution d'impression fait faillite ?