Dans un audit de sécurité, le multifonction du couloir est presque toujours le dernier équipement inventorié — quand il l’est. Il possède pourtant un disque, un système d’exploitation, une interface d’administration web, une pile réseau complète, et bien souvent un accès sortant vers Internet ainsi qu’un compte sur la messagerie de l’entreprise. C’est un serveur. Simplement, personne ne l’administre comme tel.
Ce qu’un multifonction voit, stocke et expose
Commençons par l’évidence : tout passe par lui. Bulletins de paie, contrats signés, dossiers de candidature, relevés bancaires, pièces d’identité numérisées. Ces documents transitent par la machine, s’affichent dans son journal de travaux, et finissent parfois leur trajet dans le bac de sortie, à la vue de quiconque traverse le couloir.
Ensuite, le disque interne. Beaucoup de modèles professionnels conservent une image des travaux imprimés et numérisés, pour pouvoir les réimprimer ou reprendre un envoi interrompu. Sans procédure d’effacement sécurisé, un copieur restitué en fin de location peut quitter l’entreprise avec plusieurs années d’archives à l’intérieur.
Puis les identifiants. Pour envoyer un scan par courriel ou le déposer dans un dossier partagé, la machine détient des comptes SMTP, LDAP ou SMB. Dans les parcs que nous reprenons, il s’agit très souvent d’un compte de service surprivilégié, créé une fois à l’installation et jamais changé depuis.
Enfin l’interface d’administration, accessible en HTTP depuis le réseau bureautique, avec une proportion de mots de passe constructeur restés par défaut qui surprend toujours le client au moment du relevé.
Les chiffres ont franchi un seuil
Le cabinet Quocirca publie chaque année une étude de référence sur la sécurité de l’impression. L’édition parue en juillet 2026, menée auprès d’organisations du Royaume-Uni, de France, d’Allemagne et des États-Unis, donne un résultat difficile à ignorer : 67 % des organisations interrogées ont subi au moins une perte de données liée à l’impression au cours des douze derniers mois, contre 56 % un an plus tôt. Plus de quatre sur dix en ont connu plusieurs.
Le coût moyen d’une violation de données liée à l’impression y est estimé à un peu plus d’un million de livres sterling, contre environ 820 000 dans l’édition précédente — de l’ordre d’1,1 à 1,2 million d’euros. Ces montants correspondent à de grandes organisations ; ils ne se transposent pas tels quels à une PME, mais la tendance, elle, se transpose parfaitement.
Deux autres enseignements méritent l’attention des dirigeants. D’abord, huit organisations sur dix déclarent dépendre de l’impression pour des processus métier essentiels : ce n’est donc pas un équipement qu’on peut se contenter de débrancher. Ensuite, les parcs composés de plusieurs marques, accumulés au fil des achats et des reprises, ressortent comme nettement plus exposés — chaque marque a sa console, ses firmwares et ses réglages, et plus personne n’a la vue d’ensemble.
En France, la couverture est particulièrement faible
Une étude menée par Censuswide pour Sharp fin 2024 auprès de plus de 11 000 salariés de PME dans onze pays européens situe précisément le retard français. 59 % des entreprises françaises n’ont mis en place aucune mesure de sécurité informatique spécifique à leurs imprimantes, contre 38 % en moyenne européenne.
La formation suit la même pente : parmi les salariés français ayant reçu une sensibilisation aux cybermenaces, 7 % seulement ont été formés à la sécurité des imprimantes, contre 15 % à l’échelle européenne. Et 15 % des personnes interrogées savent qu’un document abandonné dans un bac de sortie constitue une faille de sécurité sérieuse.
Ce qui frappe ici n’est pas le niveau absolu, c’est l’écart avec les voisins européens. Il ne s’explique par aucune contrainte technique : c’est un angle mort d’organisation, entretenu par un partage de responsabilité flou entre les services généraux, qui gèrent le copieur, et l’informatique, qui gère les imprimantes de bureau.
Le risque, lui, est documenté. En 2021, des chercheurs ont révélé des vulnérabilités critiques dans le firmware de plusieurs centaines de modèles de multifonctions d’un grand constructeur, permettant l’exécution de code à distance. Une imprimante compromise fait un point d’appui idéal pour un attaquant : elle est allumée en permanence, presque jamais supervisée, et elle est autorisée à parler à tout le monde sur le réseau.
Le RGPD ne s’arrête pas à l’écran
Le guide de la sécurité des données personnelles publié par la CNIL rappelle un point que l’on oublie facilement : les supports papier — documents imprimés, photocopies — relèvent des mêmes obligations de protection que les fichiers informatiques.
Concrètement, un bulletin de paie oublié dans un bac, un scan envoyé à la mauvaise adresse ou un copieur restitué sans effacement de son disque constituent des violations de données personnelles, avec l’obligation de notification qui les accompagne. La bonne question à se poser n’est donc pas « avons-nous un pare-feu ? », mais : sommes-nous capables de dire qui a imprimé, numérisé et envoyé quoi, et pendant combien de temps conservons-nous ces traces ?
Sept mesures, dont six ne coûtent rien
Inventorier. Adresse IP, modèle, version de firmware, responsable. La plupart des parcs comptent au moins une machine dont l’informatique ignorait l’existence.
Reprendre les accès d’administration. Changer les mots de passe constructeur, et désactiver ce qui ne sert pas : FTP, Telnet, SNMPv1, impression brute sur le port 9100 lorsqu’elle n’est pas utilisée.
Mettre les firmwares à jour, et inscrire les multifonctions au même cycle de correctifs que les serveurs. C’est la mesure la plus simple et la plus systématiquement négligée.
Isoler le parc dans son propre VLAN, avec un filtrage explicite : les postes impriment vers les machines, les machines ne parlent à personne d’autre. C’est la même logique de segmentation que pour la vidéoprotection ou les automates.
Activer l’impression sécurisée, c’est-à-dire la libération du travail par badge ou par code au pied de la machine. C’est la seule mesure de cette liste qui suppose un investissement, et c’est aussi celle qui supprime d’un coup les documents abandonnés — tout en faisant mécaniquement baisser le volume imprimé, puisque les travaux non réclamés ne sortent jamais.
Restreindre le compte de service utilisé pour la numérisation vers la messagerie et vers les dossiers partagés : compte dédié, droits minimaux, jamais un compte d’administration.
Écrire la clause d’effacement dans le contrat de location : effacement sécurisé ou retrait du disque à la restitution, avec attestation écrite du prestataire.
Ce que révèle un audit de parc
Dans la pratique, un relevé de parc met presque toujours au jour trois choses : des machines oubliées toujours raccordées au réseau, des consommables achetés en dehors de tout contrat à un coût à la page défavorable, et un volume d’impression couleur très supérieur à ce que l’usage réel justifie.
Les ordres de grandeur qui circulent dans la profession — un poste impression représentant quelques pour cent du chiffre d’affaires, ou plusieurs centaines d’euros par utilisateur et par an — sont utiles pour ouvrir la discussion, pas pour construire un budget. Seul le comptage réel des pages sur votre parc, marque par marque, donne un chiffre exploitable.
L’intérêt de la démarche est précisément là : le même relevé répond à la question de sécurité et à la question de coût. Les économies dégagées sur le second volet financent très souvent les mesures du premier.
Savez-vous ce que contiennent vos multifonctions ?
Assutech réalise l’inventaire complet de votre parc d’impression — machines, firmwares, comptes de service, volumes réels et coût à la page — et remet un plan de remise à niveau chiffré, sécurité et budget traités ensemble.
Découvrir notre offre impression & gestion documentaireSources : Quocirca — Print Security Landscape 2026, juillet 2026 (organisations du Royaume-Uni, de France, d’Allemagne et des États-Unis : incidents de perte de données liés à l’impression, coût moyen, exposition des parcs multi-marques) · Censuswide pour Sharp — enquête auprès de plus de 11 000 salariés de PME dans onze pays européens, octobre-novembre 2024 (mesures de sécurité spécifiques aux imprimantes, formation des salariés) · CNIL — Guide de la sécurité des données personnelles (protection des supports papier et des documents imprimés) · travaux publics de chercheurs en sécurité sur les vulnérabilités de firmware des multifonctions professionnels.