Waarom komen onze scans opeens niet meer aan?

Vaak omdat de printer zich aanmeldt met alleen gebruikersnaam en wachtwoord en Microsoft die methode uitzet of afbouwt. Ook een verlopen of gewijzigd wachtwoord van het verzendaccount is een veelvoorkomende oorzaak.

Kan de printer zonder wachtwoord mailen?

Ja. Met direct send naar collega’s binnen uw organisatie, of met een connector in Exchange Online die mail accepteert vanaf uw vaste internetadres van kantoor. Dan staat er geen wachtwoord op het apparaat.

Heeft een verzendaccount voor de printer een licentie nodig?

Voor aanmelden met een account is een mailbox met licentie nodig. Voor direct send en een relay via een connector is dat niet nodig. Floor ICT controleert vooraf wat voor uw situatie het goedkoopst en veiligst is.

Is scannen naar OneDrive of SharePoint beter dan scannen naar e-mail?

Voor interne scans vaak wel: de scan staat direct op de juiste plek met de rechten die u al hebt ingericht, en er reist geen bijlage door mailboxen. Of uw apparaat het ondersteunt, hangt af van het merk en model.

Scannen naar e-mail in Microsoft 365: hoe het MKB de printer veilig laat mailen

Op bijna elk kantoor staat een multifunctional die scans per mail verstuurt. Meestal is dat ooit ingesteld door de leverancier, met een gebruikersaccount en een wachtwoord dat sindsdien niemand meer heeft aangeraakt. Tot de scans opeens niet meer aankomen, of tot blijkt dat datzelfde account ook gebruikt kan worden om namens uw bedrijf mail te versturen.

Waarom scannen naar e-mail ineens aandacht vraagt

Scannen naar e-mail is zo gewoon dat niemand er nog bij stilstaat. Toch zit er een account achter met een wachtwoord dat op het apparaat is opgeslagen, vaak zonder meervoudige authenticatie en zonder dat iemand weet wie het ooit heeft aangemaakt. Komt dat wachtwoord uit, dan kan iemand van buitenaf mail versturen vanaf een echt adres van uw domein. Voor phishing naar uw klanten is dat ideaal.

Daarnaast bouwt Microsoft de ondersteuning af voor aanmelden met alleen gebruikersnaam en wachtwoord bij het verzenden van mail, en staat die verzendmethode in veel omgevingen al standaard uit. Oudere printers die geen moderne aanmelding ondersteunen, stoppen dan van de ene op de andere dag met mailen. Wie nu een bewuste keuze maakt, voorkomt een kantoor vol scans die nergens aankomen.

De drie manieren op een rij

aanmelden met een account (SMTP AUTH): de printer meldt zich aan bij Microsoft 365 met een account en mailt naar iedereen, binnen en buiten het bedrijf; dit vraagt een mailbox met licentie en een apparaat dat moderne aanmelding ondersteunt;
rechtstreeks afleveren (direct send): de printer levert mail zonder aanmelding af bij de mailserver van uw eigen domein; dat werkt alleen naar collega’s binnen uw organisatie, niet naar externe adressen;
doorsturen via een connector (SMTP-relay): u legt in Exchange Online vast dat mail vanaf uw vaste internetadres van kantoor wordt geaccepteerd; de printer mailt dan zonder wachtwoord, ook naar externe adressen, maar alleen vanaf die locatie.

Een vierde route is helemaal niet mailen: veel moderne multifunctionals kunnen via een app van de fabrikant direct naar OneDrive of SharePoint scannen. Dan staat de scan meteen op de juiste plek, met de rechten die u daar al hebt ingericht.

Welke manier past bij welke situatie

Scannen medewerkers vooral naar zichzelf, dan is scannen naar OneDrive of SharePoint of direct send het eenvoudigst en er staat geen wachtwoord op het apparaat. Let bij direct send wel op: aanvallers misbruiken deze route om mail te sturen die lijkt te komen van een collega. Microsoft biedt inmiddels een instelling om direct send te weigeren; wie die aanzet, moet eerst weten welke apparaten er nog van afhankelijk zijn.

Moeten scans of meldingen naar klanten, leveranciers of de boekhouder, kies dan een relay via een connector als u een vast internetadres hebt. Zonder vast adres, of bij apparaten op meerdere locaties, gebruikt u een apart verzendaccount, alleen als het apparaat moderne aanmelding ondersteunt. Kan een oud apparaat dat niet, dan is vervangen of omleiden via de connector meestal goedkoper dan een uitzondering die uw beveiliging openhoudt.

Wat u in elk geval regelt

geen persoonlijk account op de printer: gebruik nooit de inlog van een medewerker of een beheerder; maak een apart account met alleen het recht om te verzenden;
uitzonderingen klein houden: moet het verzendaccount buiten voorwaardelijke toegang of meervoudige authenticatie vallen, beperk dat dan tot dat ene account en, waar het kan, tot uw kantooradres;
SPF bijwerken: neem het vaste internetadres van de relay op in uw SPF-record, zodat ontvangers uw scans niet als vervalst aanmerken;
apparaat afschermen: wijzig het standaardwachtwoord van het beheerpaneel, houd de firmware bijgewerkt en zet printers bij voorkeur op een apart netwerk;
aanmeldingen volgen: houd aanmeldingen van het verzendaccount in de gaten via riskante aanmeldingen; een printer die zich vanuit het buitenland aanmeldt, is een alarmsignaal.

Een veelgemaakte fout

De snelste oplossing als scans niet meer aankomen, is basisverificatie of de verouderde aanmeldmethode weer aanzetten voor de hele organisatie. Daarmee zet u de deur ook open voor aanvallers die precies die methode gebruiken om wachtwoorden te raden. Lees in ons artikel over verouderde authenticatie waarom u die liever uit laat staan en het probleem per apparaat oplost.

Wat Floor ICT inricht

Floor ICT als managed service provider inventariseert welke printers, scanners en applicaties bij u mail versturen en met welk account. Wij kiezen per apparaat de veiligste werkende manier, richten connectoren of verzendaccounts in, werken SPF bij en ruimen oude accounts met opgeslagen wachtwoorden op. Welke apparaten naar externe adressen mogen mailen, bepaalt u; wij zorgen dat het werkt en dat het veilig blijft.