Mon imprimante ou mon NAS est-il accessible depuis Internet ?

↑ Ce conseil fait partie du guide : Ordinateur et appareils piratés

Comment savoir si mon imprimante ou mon NAS est accessible depuis Internet ?

Ouvrez l'interface de votre box et regardez deux rubriques : les redirections de ports, et l'UPnP. Toute redirection pointant vers l'adresse IP de l'imprimante ou du NAS expose l'appareil au monde entier. Désactivez l'UPnP, supprimez les redirections que vous ne pouvez pas justifier.

Comment ces appareils se retrouvent exposés

Personne ne décide un matin de publier son imprimante sur Internet. Trois mécanismes suffisent, et aucun ne demande d'action volontaire.

1. L'UPnP. Cette fonction de la box permet à un appareil du réseau d'ouvrir lui-même un accès depuis l'extérieur, sans vous prévenir ni vous demander votre avis. Les NAS et certaines imprimantes l'utilisent pour proposer un « accès distant » pratique. C'est la cause numéro un.
2. Une redirection de port posée à la main, souvent des années plus tôt, pour « accéder à mes fichiers depuis le bureau » ou par un installateur. Elle reste en place indéfiniment, y compris après le changement du NAS.
3. Un service d'accès distant du fabricant, activé par défaut à la configuration, qui maintient une liaison sortante permanente. Ce n'est pas une porte ouverte au même sens, mais votre appareil devient joignable via les serveurs du fabricant, et il hérite de leurs failles.

Et il faut le dire clairement : des moteurs de recherche spécialisés répertorient en permanence les appareils joignables sur Internet. Personne ne vous cible ; votre appareil figure simplement dans une liste, avec son modèle et sa version.

Ce qu'un inconnu peut en faire, concrètement

Le risque paraît abstrait tant qu'on n'a pas vu ce qui se passe réellement.

• Sur une imprimante : lancer des impressions à distance — le classique des pages de spam qui sortent la nuit — mais surtout récupérer les documents en mémoire. Beaucoup de modèles conservent les derniers travaux imprimés ou numérisés, et certains stockent les identifiants du réseau wifi et du carnet d'adresses en clair dans leur interface.
• Sur un NAS : l'accès aux fichiers, évidemment, mais aussi le chiffrement par un rançongiciel. Des campagnes entières ont visé des NAS exposés, en chiffrant les données et les sauvegardes du même coup — c'est le sujet de NAS ou disque externe chiffré.
• Sur les deux : servir de point d'appui vers le reste du réseau. Un appareil compromis est allumé en permanence, ne fait tourner aucun antivirus, et personne ne le surveille.
• Pour une entreprise, des documents numérisés accessibles constituent une violation de données à notifier : voir les obligations d'une TPE piratée.

La vérification en dix minutes

1. Ouvrez l'interface de la box en tapant son adresse IP dans le navigateur — souvent 192.168.1.1 — et connectez-vous avec le mot de passe figurant sous l'appareil.
2. Notez l'adresse IP locale de l'imprimante et du NAS dans la liste des appareils connectés.
3. Ouvrez la rubrique « Redirection de ports » (ou NAT, ou serveur virtuel). Toute ligne pointant vers ces adresses IP expose l'appareil. Notez-les avant de les supprimer, au cas où l'une serait légitime.
4. Regardez l'UPnP : beaucoup de box affichent la liste des redirections créées automatiquement. C'est souvent là qu'on découvre ce qu'on ne savait pas.
5. Dans l'interface du NAS, cherchez les réglages d'accès distant, de redirection automatique et de service en nuage du fabricant.
6. Dans l'interface de l'imprimante, désactivez les services inutiles : impression depuis Internet, accès web à distance, protocoles anciens.

Refermer proprement, sans perdre l'usage

1. Désactivez l'UPnP dans la box, et supprimez les redirections que vous ne pouvez pas justifier une par une.
2. Changez le mot de passe d'administration de l'imprimante et du NAS : il est souvent resté celui d'usine, quand un mot de passe a seulement été défini.
3. Mettez à jour le micrologiciel des deux appareils, et activez les mises à jour automatiques quand elles existent — voir faut-il installer les mises à jour.
4. Sur le NAS : désactivez le compte administrateur par défaut au profit d'un compte nommé, activez la double authentification, limitez les tentatives de connexion, et désactivez les protocoles de partage anciens.
5. Activez les instantanés du NAS s'il les gère : c'est ce qui permet de revenir en arrière après un chiffrement, et c'est ce qui le transforme en vraie sauvegarde — voir la sauvegarde d'une petite entreprise.
6. Placez ces appareils sur le bon réseau : l'imprimante peut aller sur le réseau invité avec les objets connectés ; le NAS, lui, reste avec les postes qui l'utilisent. Voir régler ses objets connectés.

Et si vous avez réellement besoin d'un accès distant ? Passez par le service du fabricant avec une double authentification, ou par un accès chiffré, plutôt que par une redirection de port qui publie l'interface d'administration. La différence est celle d'une porte fermée à clé et d'une porte ouverte avec un panneau.

Les signes qu'il s'est déjà passé quelque chose

• Des impressions que personne n'a lancées, souvent la nuit, parfois des pages de texte incompréhensible ou des messages d'avertissement.
• Un bac à papier vide le matin sans explication.
• Des fichiers inconnus sur le NAS, ou un dossier portant un nom d'instructions.
• Des fichiers renommés avec une extension inhabituelle : c'est un chiffrement, et il faut agir vite — que faire dans les premières heures.
• Un NAS qui travaille en permanence alors que personne ne l'utilise, ou une consommation de données anormale sur la box.
• Des comptes inconnus dans l'interface d'administration.

Dans ces cas, débranchez l'appareil du réseau — sans l'effacer — avant toute chose : les traces servent à comprendre par où c'est entré, et c'est la seule information qui évite que ça recommence.

Quand faire regarder

Trois situations où un contrôle extérieur fait gagner du temps : vous trouvez une redirection sans savoir qui l'a posée ; le NAS a été installé par un prestataire dont vous n'avez plus les accès ; ou l'appareil contient des données professionnelles et vous voulez un constat écrit.

Tout se vérifie à distance, box comprise : le diagnostic de quinze minutes au téléphone est gratuit, l'assistance à distance démarre à 19 € la demi-heure, et le constat écrit d'un audit n'est pas facturé. Les tarifs sont sur la page tarifs.

L'imprimante : les réglages à désactiver, un par un

Une imprimante réseau embarque un petit serveur web et une dizaine de services, presque tous activés par défaut et presque tous inutiles chez un particulier.

Connectez-vous à son interface en tapant son adresse IP locale dans un navigateur, puis :

1. Posez un mot de passe d'administration. Beaucoup de modèles sortent sans aucun mot de passe : n'importe quel appareil du réseau peut alors tout reconfigurer.
2. Désactivez l'impression depuis Internet et les services d'impression par courriel du fabricant, si vous ne vous en servez pas.
3. Désactivez les protocoles anciens proposés dans les réglages réseau, et ne gardez que ce dont vous avez besoin pour imprimer et numériser.
4. Videz la mémoire des travaux et désactivez leur conservation : c'est là que dorment les derniers documents imprimés ou numérisés.
5. Regardez le carnet d'adresses de numérisation vers courriel : il contient parfois des identifiants de messagerie enregistrés en clair.
6. Mettez à jour le micrologiciel, et activez la mise à jour automatique si elle existe.

Le NAS : sept réglages qui changent tout

1. Supprimez ou désactivez le compte administrateur par défaut, au profit d'un compte nommé. C'est le compte que visent toutes les attaques automatisées.
2. Activez la double authentification sur les comptes d'administration.
3. Bloquez les tentatives de connexion répétées — la fonction existe sur tous les NAS grand public, sous un nom ou un autre.
4. Désactivez les protocoles de partage anciens et le service d'accès distant automatique si vous ne l'utilisez pas.
5. Activez les instantanés : ce sont eux qui permettent de revenir en arrière après un chiffrement, parce que les postes ne peuvent pas les modifier. Sans eux, un NAS n'est pas une sauvegarde.
6. Séparez les comptes : un compte par personne, avec accès aux seuls dossiers utiles. Un poste compromis n'atteint alors qu'une partie des données.
7. Activez les notifications par courriel pour les connexions administrateur et les échecs répétés : c'est votre seule alerte.

Et pensez à la copie hors site : un NAS dans le salon ne protège ni de l'incendie, ni du cambriolage, ni d'un chiffrement qui atteint les partages. Voir la sauvegarde d'une petite entreprise.

Les autres appareils qu'on oublie sur le réseau

La même vérification vaut pour tout ce qui embarque une interface web et reste allumé en permanence :

• L'enregistreur de vidéosurveillance, souvent posé par un installateur avec une redirection de port pour « voir depuis le téléphone ». C'est le cas le plus fréquent d'exposition involontaire — voir ma caméra est-elle piratée.
• Le serveur multimédia qui diffuse films et musique, et qui propose volontiers un accès distant.
• La domotique : alarme, portail, chauffage, avec leur propre passerelle.
• Les appareils professionnels : pointeuse, onduleur administrable, serveur de sauvegarde, automate d'atelier. Ils sont rarement mis à jour et rarement inventoriés.
• Le routeur secondaire ou le répéteur, qui a parfois sa propre interface d'administration avec un mot de passe d'usine.

Faites-en la liste une fois, avec leur adresse IP et la date de leur dernière mise à jour. Cet inventaire d'une page est ce qui manque à presque tous les réseaux que je regarde.

Questions fréquentes

Mon imprimante imprime des pages toute seule, est-ce un piratage ?

C'est le signe le plus courant d'une imprimante joignable depuis Internet. Vérifiez les redirections de ports dans votre box et l'UPnP. Une imprimante réseau ne doit jamais être accessible de l'extérieur : il n'existe aucun usage domestique qui le justifie.

Un NAS est-il dangereux en lui-même ?

Non, tant qu'il reste sur le réseau local. Le risque apparaît avec l'accès distant : des campagnes entières ont visé des NAS exposés pour chiffrer les données et les sauvegardes en même temps. Accès distant uniquement via le service du fabricant, avec double authentification.

Comment tester si je suis exposé, simplement ?

Relevez votre adresse IP publique, puis essayez de l'ouvrir dans un navigateur depuis le partage de connexion de votre téléphone, donc hors de votre réseau. Si une interface d'appareil apparaît, elle est visible par n'importe qui.

Faut-il désactiver l'UPnP au risque de casser quelque chose ?

Certains jeux en ligne et consoles l'utilisent pour ouvrir des ports automatiquement. En le désactivant, vous pourrez rencontrer un message de connectivité limitée sur une console : dans ce cas, ouvrez manuellement le seul port concerné plutôt que de tout réactiver.

Mon imprimante garde-t-elle les documents en mémoire ?

Beaucoup de modèles conservent les derniers travaux imprimés ou numérisés, et certains stockent la clé du réseau wifi et le carnet d'adresses dans leur interface. C'est aussi pour cela qu'il faut les effacer avant de revendre ou de rendre un appareil en location.

Mon imprimante n'a pas de mot de passe, est-ce normal ?

C'est fréquent à la sortie de carton, et ce n'est pas acceptable : n'importe quel appareil du réseau peut alors la reconfigurer, lire le carnet d'adresses et récupérer les travaux en mémoire. Posez un mot de passe d'administration dès l'installation.

Les instantanés d'un NAS protègent-ils vraiment d'un rançongiciel ?

Oui, quand ils sont configurés en lecture seule pour les postes : le chiffrement touche les fichiers partagés mais pas les instantanés, ce qui permet de revenir en arrière. C'est ce qui distingue un NAS sauvegarde d'un NAS simple partage de fichiers.

À lire aussi : régler ses objets connectés · un NAS chiffré par un rançongiciel · quelqu'un utilise mon wifi.