昨日読んだITMedia NEWSの記事で、ふと思い出したことがありました。
記事は、下記。

不正アクセスの次なる標的は複合機？　専門家が指摘
（抜粋）
Webサーバ機能を複合機に組み込むことで、Webベースのワークフローシステムなど業務システムとの連携が容易に行える。Webで申請した内容の文書をすぐに複合機で出力できるといった具合だ。しかし、情報セキュリティ対策の観点からは上述のような運用管理体制の不備が大きなリスクになるといい、複合機のパスワードが脆弱な文字列によるデフォルト設定のままといったケースも見受けられる。

なにを思い出したかというと、２つ。
１つは複合機がPDF化の機能を持っていて、それを予め登録しておいた自分のメアドに送信させることがあるのですが、この複合機になりすましてスパムメールが来たことがありました。

それは・・・
2011年8月に会社のXeroxの複合機がリプレイスされ、スキャンしてファイルをPDFにする機能がついていました。そんなタイミングとピッタリ合うスパムメールだったので、ちょっとビックリ。

もうひとつあるCanonの複合機は、スキャン結果（PDF)を登録したメアドに送信する設定をしていたので、一瞬戸惑いました。

文面はこんな感じ。

題名：Re: Scan from a Xerox WorkCentre Pro #6068547
Please open the attached document. It was scanned and sent
to you using a Xerox WorkCentre Pro.
Sent by: Guest
Number of Images: 8
Attachment File Type: ZIP [DOC] WorkCentre Pro Location: machine location not set
Device Name: XRX038AA3BSX11167790

それと、上記のITMEDIAの記事に近い話しです。

複合機は（たぶん7～8年前の機種ぐらいから）エラー発生時に自己診断を納入会社に自動送信する機能があって、メアド（例：canon@example.jpとかxerox@example.jp）を持たせているのですが、それが乗っ取られる場合があります。

たぶん、多いケースとして納入した当時はパスワードの基準が甘く、デフォルトで同じパスワード（単純な文字列）が様々な会社で使われているのではないかということと、パスワードの基準が厳しくなった最近でも、複合機をリプレイスする際、業者任せで以前の設定をそのまま引き継いでしまっていることだと思います。

たぶん送信専用に使うメアドですから、大量のスパム送信の踏み台にされる危険があるわけですが、実は私も脇が甘く踏み台にされそうになりました。

一度、複合機に持たせているメアドのパスワードは確認しておくべきかと思った次第です。