TUI차이나, 드래곤포스 랜섬웨어에 여권·비자 정보 탈취 협박

8월 3일, 랜섬웨어 조직 드래곤포스(DragonForce)가 세계적 여행기업 TUI그룹의 중국 합작법인 TUI차이나(tui.cn)를 공격했다고 자신들의 유출 사이트에 밝혔다. 공격자들은 여권, 비자, 내부 문서, 법무·재무 자료를 탈취했다고 주장하며 몸값을 지불하지 않으면 데이터를 전부 공개하겠다고 협박하고 있다. TUI차이나는 2003년 설립된 외국계 지분 합작 여행사로, 중국 관광업계에서 손꼽히는 규모를 자랑한다. 이번 사건이 알려진 8월 6일 현재 TUI그룹 차원의 공식 확인이나 피해 규모 성명은 나오지 않았지만, 유출 사이트에 올라온 자료 목록만으로도 파장이 예상된다.

여권·비자 정보 유출이 유독 위험한 이유

여행사가 보유한 여권과 비자 스캔본은 단순 개인정보보다 활용도가 높다. 신원 도용은 물론 위조 여권 제작, 출입국 사기, 명의 도용 대출 등 2차 범죄에 바로 쓰일 수 있어서다. 게다가 법무·재무 문서까지 함께 빠져나갔다면 협력사와 거래처 정보까지 줄줄이 노출될 위험이 있다.

드래곤포스, 유출된 랜섬웨어 코드로 몸집 불리는 신흥 강자

드래곤포스는 2023년 등장한 서비스형 랜섬웨어(RaaS) 조직으로, 이미 유출된 록빗(LockBit) 3.0과 콘티(Conti)의 소스코드를 재활용해 만들어졌다. 남의 코드를 가져다 썼을 뿐인데도 윈도우, 리눅스, VM웨어 ESXi, NAS 장비까지 폭넓게 노리는 실전 공격 능력을 갖췄다는 게 특징이다. 유출된 랜섬웨어 코드가 재활용되면서 신생 조직도 순식간에 전문 공격조직 수준의 화력을 갖추는 게 요즘 트렌드다.

지금 바로 확인해볼 체크리스트

이런 이중공격(데이터 탈취+공개 협박) 조직이 흔히 노리는 지점을 감안하면, 아래 항목을 지금 바로 점검해볼 만하다.

• NAS나 백업 서버에 평소 쓰지 않던 관리자 계정 로그인 기록이 남아있는가
• VM웨어 ESXi 관리 콘솔에 새벽 시간대 로그인 알림이 뜬 적이 있는가
• 여권·비자 등 신원정보를 다루는 부서 파일서버에서 대량 압축·다운로드 이벤트가 발생했는가
• 외부 협력사(여행사, 예약대행, 파트너사)와 공유한 계정 정보가 다크웹 등에 유출된 이력이 있는지 확인했는가
• 랜섬노트가 뜨기 전에 이미 데이터가 빠져나갔을 수 있다 — 최근 며칠간 대용량 외부 전송 로그가 있는지 확인했는가

Q. 우리 회사는 여행사가 아닌데도 이런 유출이 남 얘기가 아닌 이유는?

여권 스캔본이 아니더라도 신분증 사본, 계약서, 급여명세서처럼 신원과 금융 정보가 섞인 파일을 보관하는 조직이라면 똑같은 표적이 될 수 있다. 드래곤포스 같은 RaaS 조직은 업종을 가리지 않고 접근 가능한 시스템부터 훑기 때문이다.

TUI차이나 사건은 랜섬웨어 조직이 이제 암호화보다 데이터 탈취 후 공개 협박에 무게를 싣고 있다는 걸 다시 한번 보여준다. 여권·비자처럼 민감한 신원정보를 다루는 조직이라면 백업 격리와 접근 로그 점검부터 서둘러야 할 시점이다.