복합기·프린터, 기업 보안의 보이지 않는 사각지대

"그저 종이를 찍어내는 기계"라는 오해에서 보안 사고는 시작됩니다

오늘날의 디지털 복합기는 더 이상 단순한 사무기기가 아닙니다. 자체 운영체제와 저장 장치를 갖춘 어엿한 네트워크 컴퓨터이며, 내부망과 인터넷에 동시에 연결되어 수많은 문서가 흘러 지나가는 정보 허브입니다. 그런데도 많은 기업이 PC와 서버에는 막대한 보안 투자를 하면서 복합기에는 출고 당시의 초기 설정을 그대로 방치합니다. 관리자 비밀번호는 단 한 번도 변경되지 않고, 펌웨어 업데이트는 수년째 적용되지 않으며, 저장된 문서는 영원히 지워지지 않은 상태로 기기 안에 잠들어 있습니다. 공격자에게 이보다 매력적인 표적은 많지 않습니다.

복합기 한 대에 담긴 위험의 무게

사무용 복합기는 자체 운영체제와 웹 관리자 페이지, 수십에서 수백 기가에 이르는 저장 장치를 갖춘 명백한 네트워크 엔드포인트입니다. 그 안에는 출력·스캔·복사·팩스로 처리한 신분증 스캔본, 거래처 견적서, 인사 평가, 계약서, 재무제표 등 기업이 다루는 거의 모든 민감 정보가 한 자리에 모입니다. 게다가 복합기는 LDAP, FTP, SMB, SMTP 같은 외부 서비스 접근용 자격 증명까지 자체적으로 저장하는 경우가 많습니다. 공격자가 복합기 한 대만 장악해도 사내 디렉터리 서비스나 파일 서버에 연쇄적으로 접근할 발판이 마련된다는 의미입니다. 글로벌 시장조사 기관 쿼서카(Quocirca)의 2024년 보고서에 따르면, 응답 기업의 67퍼센트가 최근 1년 사이 프린터 관련 데이터 침해 사고를 경험했으며 중견·중소기업에서는 그 비율이 74퍼센트까지 치솟았습니다.

수원의 한 서점에서 시작된 경고

국내에서도 복합기 해킹은 이미 일어난 사건입니다. 2020년 8월, 수원에서 서점을 운영하던 한 점주는 한 달 사이 173만 원에 달하는 통신요금 청구서를 받았습니다. 그중 약 150만 원이 국제전화 사용료였습니다. 점주가 모르는 사이 단 6일 동안 무려 636건의 국제전화가 발신된 것입니다. 원인은 인터넷에 직접 노출된 디지털 복합기였습니다. 공격자는 복합기의 팩스·전화 회선을 원격으로 조작해 국제전화를 발신시켰고, 그 비용은 고스란히 사업주에게 청구되었습니다. 한국인터넷진흥원은 2021년 1월 디지털 복합기를 겨냥한 해킹 위협에 대해 별도의 보안 권고를 발표하며 사용자에게 주의를 당부했습니다. 해외에서는 2020년 말 중남미 대형 유통업체 센코수드가 에그레고르(Egregor) 랜섬웨어에 감염되었을 때, 칠레와 아르헨티나 매장의 프린터들이 일제히 몸값을 요구하는 랜섬노트를 출력한 사례도 보고되었습니다.

2025년, 748개 모델에서 동시에 드러난 치명적 취약점

복합기 보안의 심각성을 단적으로 보여준 사건이 2025년 6월에 있었습니다. 미국 보안업체 래피드7(Rapid7)이 JPCERT/CC와 13개월에 걸친 협력 끝에 공개한 보고서에서, 5개 제조사 총 748개 모델에서 8건의 신규 취약점이 발견되었습니다. 영향을 받은 제조사는 브라더 689개, 후지필름비즈니스이노베이션 46개, 코니카미놀타 6개, 리코 5개, 도시바테크 2개 모델로, 사무용 프린터·스캐너·라벨프린터를 망라합니다.

이 가운데 가장 심각한 CVE-2024-51978은 심각도 점수 9.8점으로 사실상 최고 등급에 해당합니다. 제조사가 기기의 시리얼 넘버를 단순한 공식으로 가공해 초기 관리자 비밀번호로 사용해 왔기 때문에, 시리얼 넘버만 알면 비밀번호를 즉시 생성할 수 있다는 것이 핵심입니다. 시리얼 넘버는 또 다른 정보 노출 취약점인 CVE-2024-51977을 통해 HTTP, HTTPS, IPP 등으로 외부에서 손쉽게 확인됩니다. 결과적으로 공격자는 물리적 접근 없이도 원격에서 관리자 권한을 탈취할 수 있습니다. 더욱이 제조사는 이 취약점이 펌웨어로 완전히 해결되지 않으며 제조 공정 자체를 변경해야 한다고 밝혔습니다. 같은 시기 또 다른 글로벌 제조사의 복합기에서는 액티브 디렉터리 자격 증명을 탈취할 수 있는 패스백(Pass-back) 공격 취약점(CVE-2024-12510, CVE-2024-12511)도 보고되었습니다. 복합기 한 대의 보안 실패가 조직 전체의 도미노 붕괴로 이어질 수 있음을 다시 한 번 일깨워준 사례입니다.

특정 모델의 취약점이 아니어도, 인터넷에 그대로 노출된 프린터의 규모 자체가 심각합니다. 한 사이버보안 매체가 사물인터넷 검색 엔진으로 조사한 결과 전 세계 약 80만 대 이상의 프린터가 외부 인터넷에서 직접 접근 가능한 상태였고, 그중 5만 대에 인쇄 명령을 보내자 56퍼센트인 약 27,944대가 아무런 인증 없이 명령을 받아들였습니다. 9100번 포트, IPP, LPD 같은 인쇄용 표준 프로토콜이 인증 없이 외부에 열려 있을 때 어떤 일이 벌어지는지를 적나라하게 보여주는 수치입니다.

복합기 해킹이 만들어내는 실제 비즈니스 피해

복합기 해킹의 피해는 종이 한 장에 그치지 않습니다. 첫째는 기업 기밀과 개인정보 유출입니다. 복합기 내부 저장 장치에는 출력·스캔된 모든 문서의 사본이 남아 있어, 신분증 스캔본부터 영업 비밀까지 한 번의 침투로 통째로 빠져나갈 수 있습니다. 국내 한 전자장비 제조업체는 사내 네트워크에 침입한 해커가 복합기를 통해 문서 파일을 통째로 빼간 사실을 뒤늦게 확인한 사례가 있습니다. 둘째는 자격 증명 탈취를 통한 측면 이동입니다. 복합기에 저장된 LDAP, FTP, SMB 자격 증명을 손에 넣은 공격자는 파일 서버와 도메인 컨트롤러까지 진입할 수 있어, 복합기는 그야말로 사내 네트워크로 가는 백도어가 됩니다. 셋째는 직접적인 금전 손실과 운영 중단입니다. 국제전화 요금 폭탄, 랜섬웨어 감염, 봇넷 편입을 통한 분산 서비스 거부(DDoS) 공격 동원이 모두 가능합니다. 마지막으로 개인정보 보호법, 신용정보법 등 규제 위반에 따른 과징금과 평판 손실이 뒤따릅니다.

국내 법령과 가이드라인이 요구하는 복합기 보안

국내 기관과 기업은 이미 복합기 보안에 대한 명확한 의무를 부담하고 있습니다. 국가 정보보안 기본지침 제91조는 공공기관이 복합기를 설치·운용할 때 암호화 저장 기능 사용, 저장된 출력·스캔 내용의 정기적 완전 삭제, 공유 저장소 사용 제한과 접근 통제, 고정 IP 주소 설정과 불필요한 서비스 제거를 의무화합니다. 또한 사용 연한 경과로 폐기·양여하는 경우, 보증기간 중 저장매체나 복합기 전체를 교체하는 경우, 고장 수리를 위해 외부로 반출하는 경우에는 저장매체의 자료를 반드시 완전 삭제하도록 명시합니다.

한국인터넷진흥원의 디지털 복합기 보안 권고도 같은 맥락에서 내부망 사용, 불필요한 서비스 비활성화, 관리자 비밀번호 주기적 변경, 최신 펌웨어 적용, 저장 문서 삭제를 핵심 수칙으로 제시합니다. 공용 공간 복합기에 대해서는 HTTPS 등 암호화 통신 설정, 관리자 페이지 IP 제한, 모든 로그 저장 설정을 강화 권고합니다. 이는 ISMS-P 인증 심사와 개인정보의 안전성 확보조치 기준에서 사실상 의무에 가까운 통제 항목이며, NIST IR 8023과 NIST SP 800-53 등 국제 표준 역시 네트워크 프린터를 정식 정보 시스템 자산으로 분류해 위험 관리 범위에 포함시킬 것을 권고합니다.

사용 중인 복합기를 지키는 운영 단계 보안 대책

운영 중인 복합기 보호의 출발점은 결국 기본을 바꾸는 일입니다. 출고 시 설정된 관리자 비밀번호를 즉시 강력한 무작위 문자열로 변경하고, PIN, IC 카드, 모바일 인증 등 사용자 인증을 의무화해 누가 무엇을 출력했는지 추적이 가능하도록 해야 합니다. 네트워크 측면에서는 복합기를 외부 인터넷에서 직접 접근할 수 없도록 사설 IP 대역에 배치하고 방화벽으로 보호하며, 가능하다면 별도 가상 LAN으로 분리합니다. 9100번 포트, IPP, LPD, SNMP 등 사용하지 않는 서비스는 비활성화하고, 관리자 페이지 접근은 사전 등록된 단말에서만 가능하도록 제한합니다.

펌웨어는 제조사 보안 업데이트를 신속하게 적용하되, 일부 취약점은 펌웨어로 완전히 해결되지 않으므로 기본 비밀번호 변경과 망 분리 등 보완 통제가 반드시 병행되어야 합니다. 저장 데이터는 내부 저장 장치의 암호화 기능을 활성화하고 일정 기간 경과 데이터를 자동 삭제하도록 정책을 설정합니다. 출력 보안 측면에서는 풀 프린팅(Pull Printing) 또는 시큐어 프린트를 도입해 본인 인증 시점에만 인쇄물이 출력되도록 해야 합니다. 마지막으로 네트워크 접근 기록, 관리자 로그인 이력, 펌웨어 변경 이력을 통합 로그 시스템으로 모아 주기적으로 점검하고 이상 징후에 신속하게 대응할 수 있는 모니터링 체계를 갖추어야 합니다.

잊혀진 저장매체의 위험: 폐기 단계의 보안 대책

운영 중 보안만큼 중요한 것이 폐기 단계의 보안입니다. 복합기는 평균 5년에서 10년의 수명을 가진 장비이지만, 그 안에 탑재된 저장 장치에는 마지막 한순간까지의 모든 문서가 잔류해 있을 가능성이 매우 높습니다. 사용 연한이 끝났다고 그대로 폐기 업체에 넘기거나 임대 계약 종료 시 단순 회수하도록 두는 것은, 기업의 모든 민감 문서를 외부에 그대로 흘려보내는 것과 같습니다. 일반적인 포맷이나 공장 초기화만으로는 데이터가 완전히 지워지지 않으며 전문 복구 도구로 상당 부분 복원이 가능합니다.

국제적으로는 NIST SP 800-88 Rev.2와 IEEE 2883-2022가 저장매체 파기를 Clear, Purge, Destroy 단계로 구분해 매체 특성과 보안 등급에 맞는 방식 선택을 요구합니다. 실무에서는 자성 매체인 하드 디스크에 디가우징과 물리적 파쇄를 결합하고, SSD나 eMMC 같은 비자성 매체에는 디가우징 효과가 제한적이므로 암호화 삭제(Cryptographic Erase)와 천공·파쇄를 병행하는 조합이 가장 안전합니다. 매체 일련번호 단위의 이력 관리와 파기 확인서, 사진·영상 증빙 확보까지 갖추어야 사고 발생 시 책임 소재를 명확히 증명할 수 있습니다.

알테크코리아가 함께하는 복합기·프린터 정보보안 솔루션

알테크코리아는 데이터 파기 전문 기업으로, DieHDD™ 브랜드를 통해 복합기·프린터를 비롯한 기업 IT 자산의 사용 수명이 끝나는 그 순간을 안전하게 책임집니다. 매체 특성과 보안 등급에 맞춰 자성 매체인 하드 디스크에는 디가우징과 물리적 천공·파쇄를 적용하고, SSD나 eMMC 같은 비자성 매체에는 블랑코(Blancco) 기반의 인증된 영구삭제와 물리적 파쇄를 조합해 데이터 복원 가능성을 원천 차단합니다. 매체 일련번호 단위의 이력 관리와 파기 확인서 발급으로 ISMS-P 인증, 개인정보 보호법 등 규제 대응에 필요한 증빙도 확보해 드립니다. 또한 생산자책임재활용(EPR) 제도와 도시광산 개념에 입각해 회수된 자원을 친환경적으로 재활용함으로써, 정보보안과 ESG 경영을 동시에 달성할 수 있도록 지원합니다. 정보의 마지막 한 자락까지 안전하게 책임지는 데이터 파기 파트너로서 알테크코리아가 함께하겠습니다.

복합기·프린터 보안 점검 체크리스트

• 관리자 계정의 출고 시 초기 비밀번호를 모두 강력한 무작위 문자열로 변경했는가

• 인쇄·복사·스캔 작업 시 PIN, IC 카드, 모바일 인증 등 사용자 인증을 의무화하고 있는가

• 복합기가 인터넷에 직접 노출되지 않고 사설 IP와 방화벽 뒤에 배치되어 있는가

• 9100번 포트, IPP, LPD, SNMP 등 사용하지 않는 서비스를 비활성화했는가

• 제조사가 배포하는 최신 펌웨어와 보안 패치를 정기적으로 적용하고 있는가

• 내부 저장 장치의 암호화 기능을 활성화하고 일정 기간 경과 데이터를 자동 삭제하도록 설정했는가

• 관리자 페이지 접근을 사전 등록된 IP나 관리용 단말에서만 가능하도록 제한했는가

• 네트워크 접근 기록, 관리자 로그인 이력, 펌웨어 변경 이력을 통합 로그 시스템으로 모니터링하고 있는가

• 폐기·교체·외부 반출 시 저장매체에 대한 디가우징, 천공·파쇄, 암호화 삭제를 적용하고 매체 일련번호 단위로 파기 이력을 관리하고 있는가

• 복합기·프린터를 기업 자산 목록과 보안 정책에 명시적으로 포함하고, 담당자와 점검 주기를 지정해 운영하고 있는가

종이 한 장은 일시적이지만, 그 기계는 여전히 살아 있습니다

종이로 출력된 문서는 시간이 지나면 사라지지만, 그 문서를 만들어낸 복합기는 오랫동안 사내 네트워크에 살아 있으며 그 안에는 출력 문서의 디지털 사본과 다양한 자격 증명이 함께 잠들어 있습니다. 복합기 보안은 더 이상 있으면 좋은 부가 사항이 아니라, 기업의 정보 자산을 지키는 가장 기본적이면서도 가장 자주 간과되는 과제입니다. 오늘 당장 가장 가까운 복합기 앞에 서서, 마지막으로 관리자 비밀번호를 바꾼 것이 언제였는지, 펌웨어 업데이트는 적용되어 있는지, 저장된 문서는 정기적으로 삭제되고 있는지를 점검해 보시기 바랍니다. 보안의 첫걸음은 거기에서 시작됩니다.