프린터 네트워크 접속 보안 강화를 위한 5가지 권고사항

한 대의 ‘침묵하는 프린터’가 불러온 랜섬웨어 악몽

2019년 늦가을, 왕징의 한 IT 기업 IT 담당자 라오저우는 영업팀으로부터 긴급 전화를 받았다. 모든 프린터가 동시에 ‘멈춰 버렸고’, 화면에는 0.5비트코인을 지불해야만 복호화 키를 준다는 암호화 안내 문구가 떠 있었다. 더 기이한 것은 같은 날 밤 회사의 파일 서버에도 비정상적인 접속 로그가 나타났다는 점이다. 이틀 내내 점검한 끝에 라오저우가 찾아낸 공격 진입점은 다름 아닌 네트워크 케이블에 연결된 네트워크 프린터 한 대였다. 이 프린터는 어떤 보안 정책에도 포함된 적이 없었고, 기본 비밀번호인 admin/123456을 3년째 그대로 사용하다가 그날 공격자의 발판이 되고 말았다. 이것은 단일 사례가 아니다. 2022년 베이징의 한 제조업 고객사도 비슷한 상황을 겪었다. 프린터에 채굴 프로그램이 심어져 CPU 사용률이 연중 내내 100%에 육박했고 인쇄 속도는 달팽이처럼 느려졌는데, 운영 담당자가 석 달 동안이나 점검한 끝에야 이 ‘침묵하는 단말’을 찾아냈다. 사무실 구석에서 가장 눈에 띄지 않는 장비인 프린터가 지금 기업 내부망에서 가장 취약한 침입 경로가 되고 있다.

첫 번째 방어선: 기본 비밀번호 변경부터 시작하십시오

시중에서 흔히 볼 수 있는 HP LaserJet, Ricoh MP, Canon imageRUNNER, Xerox WorkCentre 등 상용 모델의 출하 시 기본 관리자 비밀번호는 대개 admin, 123456, 공백 또는 모델명과 연관된 단순한 조합입니다. 기업이 구매 후 그대로 사용하면서 비밀번호 문제는 3~5년씩 미뤄집니다. 제가 본 가장 심한 사례는 한 고객사가 20여 대의 프린터를 모두 하나의 admin 계정으로 쓰면서 비밀번호를 프린터 하단에 붙여 둔 메모지에 적어 놓은 것이었습니다. 공격자가 사무실에 들어와 사진 한 장만 찍으면 권한을 얻을 수 있는 셈입니다.

프린터의 웹 관리 화면에 접속한 공격자가 할 수 있는 일은 ‘몰래 종이 몇 장 출력하는’ 수준을 훨씬 뛰어넘습니다. DNS를 피싱 서버로 바꾸고, 인쇄 작업에 악성 매크로 코드를 삽입하고, IPP 프로토콜을 통해 인쇄 작업의 평문 데이터를 탈취하며, 심지어 LDAP 설정을 악용해 도메인 계정 해시를 빼내기도 합니다. 이것이 바로 악명 높은 ‘프린터를 경유한 횡적 이동’ 수법입니다. 도메인 해시를 확보한 뒤 NTLM 릴레이 공격과 결합하면 공격자는 도메인 컨트롤러 권한을 흉내 내어 광범위하게 피해를 입힐 수 있습니다.

보안 강화의 첫 단계는 단순하고도 명확합니다. 신규 장비를 구매하거나 도입한 직후 모든 기본 자격 증명을 변경하고, ‘장비-계정-비밀번호’ 대장을 만들어 인수인계 목록에 포함시키는 것입니다. 아직도 기본 비밀번호를 쓰고 있는 프린터가 있다면 즉시 변경하고, 변경한 김에 Telnet/SSH 로그인이 되는지도 확인해 보십시오. 저희 네트워크 장비 패키지 서비스에는 설치 전 기본 보안 강화 절차가 포함되어 있어 이 부분까지 커버합니다.

SNMP 권한: 간과된 정보 유출 경로

프린터의 SNMP(단순 네트워크 관리 프로토콜)는 IT 관리자가 장비 상태, 토너 잔량, 용지 용량을 일괄 조회할 수 있어 편리합니다. 하지만 문제는 기본 활성화된 SNMP v1과 v2c 프로토콜에 아무런 암호화가 없고, 커뮤니티 문자열(community string) 기본값이 public/private이며 평문으로 전송된다는 점입니다. 길가의 아무 스캐너로 훑기만 해도 데이터를 얻을 수 있습니다.

공격자가 SNMP를 통해 얻을 수 있는 정보에는 IP 주소, MAC 주소, 프린터 모델, 펌웨어 버전, 설치된 펌웨어 모듈, 네트워크 설정, 프린터 공유 이름이 포함되며, 심지어 과거 인쇄 작업에 남아 있는 민감한 정보까지 읽을 수 있습니다. 한 보안팀이 실험한 결과, 기본 SNMP 커뮤니티 문자열 하나만으로 내부망에서 10분간 탐색해 완전한 프린터 자산 토폴로지 맵을 그려냈다고 합니다. 각 장비가 위치한 층, 소속 부서, 연결된 스위치 포트까지 포함해서 말입니다. 이 지도는 공격자에게 그 어떤 스캔 도구보다 정확한 값진 자산입니다.

강화 권고: 프린터 관리 화면에 접속해 SNMP v1/v2c 커뮤니티 문자열을 최소 16자리의 복잡한 문자열로 바꾸거나, 아예 SNMP v1/v2c를 끄고 SNMP v3만 남겨 인증과 암호화를 활성화하십시오. 업무 시스템이 SNMP 모니터링에 의존한다면 모니터링 플랫폼도 반드시 v3 설정으로 함께 갱신되었는지 확인해야 합니다. 라오저우는 이후 회사 모든 프린터의 SNMP community를 32자리 무작위 문자열로 바꾸었고, 그날 밤은 유난히 편안하게 잠들었다고 합니다.

1. 프린터 웹 관리 화면 로그인 → 네트워크 설정 → SNMP 구성
2. SNMP v1/v2c 비활성화 또는 community string을 강력한 비밀번호로 변경
3. SNMP v3 활성화 및 인증(MD5/SHA) + 암호화(DES/AES) 구성
4. 모든 모니터링 플랫폼이 SNMP v3 자격 증명을 사용하는지 확인
5. SNMP 접속 로그를 정기적으로 감사하여 비정상 조회 출처 점검

9100 포트: 구석에 숨은 시한폭탄

포트 9100은 RAW 인쇄 프로토콜(9100 인쇄 서비스라고도 함)의 기본 포트로, 거의 모든 네트워크 프린터가 기본적으로 이 포트를 열어 둡니다. 장점은 전송 효율이 높고 호환성이 좋아 인쇄 데이터를 9100 포트로 바로 보내면 출력된다는 점이지만, 단점도 뚜렷합니다. 이 포트에는 아무런 인증 메커니즘이 없어 접근만 가능하면 데이터를 마음대로 밀어 넣을 수 있습니다.

공격자는 9100 포트로 악성 데이터를 직접 보내 알려진 취약점을 발동시키거나, 악성 매크로가 삽입된 Office 문서나 PDF 파일을 그대로 전송할 수 있습니다. 2021년 한 보안 컨퍼런스에서는 9100 포트를 통해 취약점이 패치되지 않은 HP 프린터에 특수 제작한 문서를 전송해 프린터 임베디드 시스템에서 임의 코드를 실행하고, 나아가 프린터 메모리에 남아 있는 인쇄 작업 데이터까지 읽어내는 시연이 있었습니다. 여기에는 급여 명세서, 계약서 스캔본, 기밀 메모가 포함됩니다.

강화 방안은 두 가지입니다. 첫째, 9100 포트를 비인가 IP에 노출하지 않고 방화벽이나 스위치 ACL에서 인쇄 서버 IP만 프린터 9100 포트에 접근할 수 있도록 제한합니다. 둘째, 업무상 허용된다면 RAW 인쇄를 완전히 끄고 IPP(인터넷 인쇄 프로토콜, 포트 631)나 LPD(라인 프린터 데몬, 포트 515) 등 더 안전한 프로토콜로 대체합니다. 제가 권하는 방식은 웹 인쇄용으로 IPP를 유지하고 9100은 방화벽 규칙에서 빼내 특정 IP 대역만 접근하도록 하는 것입니다. 9100을 반드시 유지해야 하는 상황이라면 VPN 터널로 캡슐화한 뒤 전송하고, 사무망에 그대로 노출하지 마십시오.

VLAN 격리: 프린터를 ‘우리’ 안에 가두기

대부분의 중소기업은 네트워크를 설계할 때 스위치 포트에 아무렇게나 꽂아 프린터가 직원 PC, 서버와 같은 대역에 섞여 있습니다. 이런 ‘플랫’ 구조는 관리하기 편하지만 횡적 이동 위험이 매우 큽니다. 프린터 한 대가 뚫리는 순간 공격자는 같은 대역의 모든 장비를 즉시 스캔할 수 있습니다. SMB 공유, RDP 서비스, 데이터베이스 포트까지 모두 손 닿는 거리에 있습니다.

올바른 방법은 프린터를 별도의 VLAN으로 분리해 사무 단말, 업무 시스템, 서버 도메인과 완전히 격리하는 것입니다. 인쇄 트래픽은 한 대 또는 여러 대의 인쇄 서버를 통해 일원화해 중계하고, 직원 PC는 인쇄 서버와만 통신하며 인쇄 서버는 전용 VLAN을 통해 각 층, 각 부서의 프린터와 통신합니다. 이렇게 하면 프린터 한 대가 장악되더라도 공격자는 프린터 VLAN 안에서만 맴돌 수 있고, 사무망이나 서버망으로 침투하려면 3계층 라우팅과 ACL을 넘어야 하므로 그리 쉽지 않습니다.

실무적으로는 프린터 전용 VLAN(예: VLAN 30, 프린터 대역)을 따로 설계하고, 코어 스위치에 3계층 라우팅을 구성하며, 사무망에서 프린터 VLAN으로 가는 트래픽은 ACL 화이트리스트 정책으로 인쇄 서버 IP만 허용합니다. 여건이 되는 고객은 802.1X 인증을 활성화해 프린터도 네트워크에 접속할 때 신원 인증을 거치게 함으로써 무단 연결 장비를 원천 차단할 수 있습니다. 저희 sTrust 제로 트러스트 보안 솔루션에는 네트워크 접근 제어의 완전한 실천 사례가 담겨 있어 장비 접속 보안을 근본적으로 관리할 수 있습니다.

펌웨어 업그레이드: 취약점이 계속 기다리게 두지 마십시오

2022년 5월 SentinelLabs는 수십 종의 HP 프린터에 영향을 미치는 심각한 취약점(CVE-2022-3942)을 공개했습니다. 공격자는 악성 패킷을 보내기만 하면 원격으로 코드를 실행할 수 있었고, 영향을 받는 펌웨어 버전은 수년에 걸쳐 있었습니다. 2023년에는 CISA(미국 사이버보안 및 인프라 보안국)가 주요 상용 프린터에 악용 가능한 RCE 취약점이 존재한다며 기업에 즉시 펌웨어를 업데이트할 것을 직접 경고했습니다. 제조사의 패치는 이미 나와 있었지만, 현실은 기업 내 많은 프린터가 3년, 5년 전의 구형 펌웨어로 돌아가며 취약점이 한 번도 수정되지 않고 있다는 것입니다.

펌웨어를 업데이트하지 않는 이유는 매우 현실적입니다. 프린터는 PC와 달리 팝업 알림이 없고, 펌웨어 업그레이드는 펌웨어 패키지를 수동으로 내려받아 관리 화면에 업로드하고 장비를 재부팅해야 하며, 한 번 작업할 때마다 10여 분간 인쇄 서비스가 중단됩니다. 많은 운영 담당자가 번거롭다며 미뤄 둡니다. 더 골치 아픈 것은 일부 구형 프린터는 펌웨어 업그레이드 과정에서 오류가 나 벽돌이 되기 쉬워 운영 담당자가 선뜻 손대지 못한다는 점입니다.

기업은 분기별 프린터 펌웨어 점검 체계를 수립해 각 브랜드 공식 사이트에서 해당 모델의 최신 펌웨어 버전과 알려진 취약점 설명(HP는 PSRT 보고서, Xerox는 보안 공지)을 확인하고, 보안 패치를 적시에 테스트하고 배포할 것을 권합니다. 보안 지원이 종료된 모델(제조사가 더 이상 패치를 배포하지 않는 경우)은 교체 계획에 포함하고, 신규 구매 장비는 보안 부팅과 자동 업데이트 기능이 내장된 제품을 우선 고려하십시오.

프린터 보안에 만능 해결책은 없지만, 침묵하는 수동적 상황을 바꾸는 것은 어렵지 않습니다. 기본 비밀번호 변경, SNMP 권한 강화, 9100 포트 숨기기, 프린터에 독립된 VLAN 방 배정, 펌웨어 업데이트 습관 들이기. 이 다섯 가지만 실행하면 일반적인 스크립트 키디 수준의 해커는 대개 다른 길로 돌아갈 것입니다. 진짜 의지가 있는 APT 공격은 더 높은 비용을 요구하며, 대부분의 중소기업 자산 가치는 공격자가 그렇게 큰 판돈을 걸 만한 수준은 아닙니다.

이 글을 다 읽고 나서 사무실 한구석에서 먼지 쌓인 낡은 프린터가 떠올라 마음이 불안해졌다면, 지금 바로 손을 보세요. 생각보다 어렵지 않습니다.