中国・張家口の外国人管理プラットフォーム報道を、事実だけで読む

こんにちは、株式会社TIMEWELLの濱本です。

先週、河北省張家口市の公安当局向けに設計されたとみられる外国人の管理システムが、一時的に外部から閲覧できる状態になっていたと報じられました¹。約1万2000人分の記録があり、そのうち300人超が外国人記者だったとされています。スクリーンショットには北海道新聞やブルームバーグの名前もありました²。

この種のニュースは、扱い方を間違えると一気に温度が上がります。ですので最初に立場を書いておきます。この記事では中国を非難しません。やるのは二つだけで、何が確認された事実で何が報道による記述なのかを切り分けること、そして日本企業が駐在員と出張者の運用をどう設計し直せばいいかを考えることです。感情の部分は読者それぞれのもので、私が足すものではないと思っています。

報道は2系統ある。混ぜると事実がぼやける

まず整理が要ります。この件はひとつのスクープではなく、時期も情報源も違う2本の報道が積み重なっています。ここを混ぜると「どこまでが裏の取れた話か」が分からなくなります。

先行したのは英国のデイリー・テレグラフで、2026年5月に独自報道として出しています。同紙のソフィア・ヤン記者は、自身の記録がこのプラットフォームに含まれており、パスポート番号、携帯電話番号、勤務先とともに「trackable（追跡可能）」と付されていたと書いています³。記者を照会するための専用セクションがあり、パスポート番号、証明写真、私用の携帯番号、生年月日が入っていたという記述もこの報道に由来します。

2本目が、ニューヨーク・タイムズが2026年8月2日に出した記事です¹。こちらの起点はアムステルダムを拠点とするサイバーセキュリティ研究者マーク・ホーファー氏で、同氏が2026年1月に、外部から閲覧できる状態のダッシュボードを見つけました。5月には閲覧できなくなっていたとされます²。ホーファー氏が保存したデータの提供を受けて同紙が報じた、という経緯です。

日本国内で3日から4日にかけて流れた記事は、時事通信も共同通信も読売新聞も、いずれもニューヨーク・タイムズを引いた二次報道です²。「米紙報道」と明記されています。ここを押さえておくと、SNSで流れてくる断片がどの系統の話なのかを自分で判定できます。

そしてもうひとつ大事な前提があります。ニューヨーク・タイムズによれば、関連が指摘された企業と張家口市公安局はいずれも取材に応じていません¹。中国外交部の公式なコメントも、私が調べた範囲では確認できませんでした。つまりこれは、当事者の説明がない状態で成立している報道です。書かれている内容を否定する材料もありませんが、一方当事者の取材に基づくものだという性質は、読むときに外さないでおきたいところです。

何が記録されていたとされるのか

報じられたシステムの名称は「境外人員動態管控平台」、英語では Dynamic Control Platform for Overseas Personnel と表記されています。張家口市は2022年の北京冬季五輪を共催した都市で、スキーリゾートとしても知られています。

記録されていたとされる項目が、この報道の芯です。生年月日、性別、婚姻状況、住所、職業。ここまでは在留管理の情報として想像がつきます。報道が具体的なのはその先で、搭乗した航空便や乗車した列車が、座席番号まで記録されていたとされています¹。加えて通院の履歴、ガス料金の支払い。監視カメラ、医療記録、請求書、顔認証といった別々の系統のデータを、ひとりの人物の記録として束ねる設計だったと報じられています。

登録は約1万2000人分。内訳として、張家口市に住む外国人が700人超、外国人記者が300人超、ほかに香港・台湾出身者や留学生が含まれていたとされます¹。市の在住外国人が700人規模であるのに対して総数が1万2000人ということは、通過した人も相当数入っていたと読むのが自然でしょう。

この内訳は、実務にそのまま効いてきます。市の在住外国人が700人規模なのに総数が1万2000人だということは、記録の大半は住んでいない人のものだったことになります。つまり短期の出張や乗り継ぎで通り過ぎただけの人も対象になりうる、ということです。社内の議論はどうしても「駐在員をどう守るか」から始まりますが、人数で言えば出張者のほうが多い会社がほとんどではないでしょうか。年に数回、数日だけ行く人にまで同じ前提を共有しておかないと、いちばん母数の大きいところが手つかずで残ります。

テレグラフの報道にはもうひとつ、個人の記録を超える機能の記述があります。関係性のモデリング、つまり誰と、どのくらいの頻度で、どういう文脈で会ったかを紐づける仕組みです³。個人の点ではなく線と面を見る、という発想です。私が実務者として引っかかったのはここでした。自分の行動を気をつけていても、会った相手の側から輪郭が描かれる可能性があるということですから。

なお、この件については「AIが自動でプロファイルを生成する」「特定エリアに入ると警察へ自動通知が飛ぶ」といった説明もSNSで流れています。私も最初にその要約から入りました。ただ、今回一次に近い報道を当たった範囲では確認できませんでした⁴。書けない以上、この記事では扱いません。ここは正直に残しておきます。

中国の制度側の枠組み、つまり反スパイ法や国家情報法が駐在員と企業データにどう効いてくるかは、反スパイ法・国家情報法と日本企業のリスクで法令の一次情報から整理しています。本記事はあくまで今回の報道の読み方に絞ります。

「特別に危ない国」という枠組みでは、たぶん間違える

ここが、この記事でいちばん書きたかったところです。

この種のニュースを読むと、つい「だから中国は」という結論に行きたくなります。でも実務としてそれをやると、対策が感情に引きずられて雑になります。渡航を止めるか、止めないか。その二択で議論が終わってしまいます。

もう少し冷静に見ると、今回報じられたことの構造は、行政が持つ複数のデータベースを個人単位で名寄せして、時系列で追える形にした、というものです。この構造自体は中国に固有ではありません。出入国記録、交通機関の予約記録、医療記録、公共料金。どの国でも行政や事業者はこれらを持っています。違いは、それらを横断して束ねることが制度上どこまで許されるか、そして束ねた結果を誰が閲覧できるか、という設計にあります。

余談になりますが、複数のデータを名寄せして関係をたどるという技術そのものは、私たちが日々扱っている領域とも地続きです。輸出管理の取引先調査では、法人登記や資本関係、論文や特許の共著関係をつないで、懸念のある結びつきを見つけ出します。やっていることの形はよく似ています。違うのは目的と、誰がどこまで見てよいかを縛る統制のほうです。技術そのものを悪だと言っても議論は前に進みませんし、同じ技術は制裁対象の迂回を見つけるためにも使われています。見るべきは統制の設計のほうだ、というのが私の立場です。

だから実務の問いは「どの国が危ないか」ではなく、「自分たちが渡航先で生成している記録は何で、それはどこまで束ねられうるか」に置き換えるほうが正確です。この問いの立て方なら、対象国が変わっても手順は変わりません。答えの出ない議論に時間を使わずに済みます。

そのうえで、今回の件には日本の企業にとって具体的な要素が二つあります。ひとつは、報じられた対象に日本の報道機関の記者が含まれていたこと。日本人が具体的に対象になりうる話だと分かったこと自体に、実務上の意味があります。もうひとつは、記録の粒度です。列車の座席番号まで残るのであれば、「誰と同じ列車で移動したか」は事後に再構成できます。出張の同行者や訪問先の組み合わせは、行動そのものより多くを語ることがあります。

海外拠点や取引先を含めた自社の経済安全保障リスクを一度ざっと点検したい方は、輸出管理・経済安全保障の無料診断で現状を可視化するところから始められます。

淡々と設計を変える

では何をするか。派手な対策は要らないと思っています。多くの企業がすでに反スパイ法対応で整理している手順の延長線上に置けるはずです。

出発点は持ち物の最小化です。渡航に持っていく端末を業務用の本番機ではなく渡航専用機にする、格納するデータを当該出張に必要な範囲に限る、現地で使うアカウントを本社の統合アカウントから分ける、といったところです。ここまでは多くの会社ですでに規程があるはずで、今回の報道は、その規程を「本当に運用されているか」で点検し直す機会だと捉えるのが素直だと思います。規程はあるけれど運用は緩い、という状態が実のところ一番多いように思います。

次に、移動と面会の記録です。誰がいつどこへ行き、誰と会ったかを、自社の側でも正確に把握しておきます。監視されるからではなく、後で説明を求められたときに自分たちの記録で説明できる状態を作るためです。相手方の記録しか存在しない状況が、いちばん弱いところです。これは輸出管理で取引記録を残すのと同じ発想です。

そして帰任時の棚卸し。渡航専用機の初期化、現地アカウントの停止、持ち帰ったデータの取り込み経路の確認。地味ですが、抜けやすいのはたいていここです。

もうひとつ、抜けやすいのが現地の取引先やパートナーへの配慮です。関係性が記録されうるのなら、そこに残るのは自社の社員だけではありません。誰と会ったかという情報は、相手方にとっての情報でもあります。といっても面会を減らせという話ではありません。相手の立場でも説明のつく形で会う、という当たり前のところに戻るだけです。訪問の目的と経緯を自社の記録に残しておけば、後から双方にとって説明の材料になります。過剰に警戒して現地の関係を細らせるのは、経済安全保障の観点でもかえって損だと私は考えています。

最後に、社内への伝え方について一言だけ。今回のようなニュースを社内共有するとき、「危険だから気をつけろ」で終わらせると、現場は身構えるだけで行動が変わりません。「記録は残る前提で動く」という中立的な言い方のほうが、実際には守られます。恐怖で人は動きませんが、前提が変われば手順は変わります。

事実を持っておくことの効用

まとめます。ニューヨーク・タイムズが2026年8月2日、河北省張家口市の公安当局向けに設計されたとみられる外国人管理システムのダッシュボードが一時外部から閲覧可能だったと報じました。発見したのはアムステルダム拠点の研究者で、2026年1月に見つけ、5月には閲覧できなくなっていたとされます。約1万2000人分、うち外国人記者が300人超。記録の粒度は列車の座席番号や通院履歴に及ぶと報じられています。関連が指摘された企業と当該公安局は取材に応じていません。

先行するテレグラフの報道には「trackable」タグや関係性モデリングの記述があり、こちらは2026年5月です。系統が違う話なので、引用するときは分けたほうがいいでしょう。SNSで流れている自動プロファイル生成や自動通知の話は、少なくとも私が当たった範囲では裏が取れませんでした。

私がこの件から持ち帰ったのは、驚きよりもむしろ「やはりそうか」という感覚でした。行政が持つデータを名寄せして時系列で追えるようにする、というのは技術的には特別なことではありません。だからこそ、驚くのではなく前提として組み込むほうが実務的です。渡航先で自分たちが何の記録を残しているかを一度書き出してみると、思ったより多いことに気づくはずです。まずはそこからで十分だと思います。

海外拠点の運用や渡航規程を経済安全保障の観点から整理し直したい方は、TRAFEEDの考え方が参考になるかもしれません。個別の状況に踏み込んで相談したい場合は、こちらからご連絡ください。

---

Footnotes

1. The New York Times, "How China Keeps Tabs on Foreigners"（Lily Kuo、Pei-Lin Wu、2026年8月2日）。システム名称 "Dynamic Control Platform for Overseas Personnel"、張家口市公安局向けに設計されたとみられること、登録が約1万2000人で張家口市在住の外国人700人超・外国人記者300人超・香港および台湾出身者・留学生を含むこと、記録項目（生年月日、性別、婚姻状況、住所、職業、搭乗便および乗車列車の座席番号、通院履歴、ガス料金の支払い、監視カメラ・医療記録・請求書・顔認証データの集約）、マーク・ホーファー氏が保存データを同紙に提供したこと、北京の企業 Origin Dynamic（塩城市政府が一部を保有）との関連、および同社と張家口市公安局が取材に応じなかったことは、いずれも同記事による。https://www.nytimes.com/2026/08/02/world/asia/china-surveillance-foreigners.html ／ 本文の確認には転載版を用いた。https://u.osu.edu/mclc/2026/08/03/how-china-keeps-tabs-on-foreigners/ ↩ ↩² ↩³ ↩⁴ ↩⁵

2. 時事通信「中国の外国人監視データ、一時オープンに 日本の記者も掲載―米紙報道」（2026年8月4日07時11分配信）。米紙ニューヨーク・タイムズ3日付の報道として、河北省張家口市の公安当局のものとみられること、マーク・ホーファー氏が2026年1月に見つけ5月には閲覧できなくなっていたこと、モザイクがかけられた顔写真の横に北海道新聞や米ブルームバーグ通信の文字があり記者の名前・性別・国籍・パスポート番号が記載されていたとみられることを報じている。https://www.jiji.com/jc/article?k=2026080400160&g=int ／ 同趣旨の国内報道として共同通信および読売新聞。いずれも米紙報道を引いた二次報道である。 ↩ ↩² ↩³

3. The Daily Telegraph の独自報道（2026年5月、Sophia Yan）。外国人・記者および国家が関心を持つとみなした個人を追跡する目的のプラットフォームであること、同記者自身の記録にパスポート番号・携帯電話番号・勤務先が含まれ「trackable」と付されていたこと、記者照会用のセクションにパスポート番号・証明写真・私用携帯番号・生年月日が含まれること、および誰とどの程度の頻度でどのような文脈で会ったかを紐づける関係性モデリング機能があることは、同報道による。同紙公式アカウントによる告知は https://x.com/Telegraph/status/2056756282623725664 ／ なお本記事執筆時点で、同紙記事本文は購読者向けのため直接の確認には至っておらず、上記は同紙の公式告知および他媒体による引用に基づく。 ↩ ↩²

4. 「AIが人物プロファイルを自動生成する」「特定エリアへの立ち入りで警察へ自動通知が飛ぶ」といった説明がSNS上で流通しているが、本記事の調査時点では上記いずれの報道でも確認できなかったため、本記事では扱っていない。中国外交部による公式コメントについても、同様に確認できていない。 ↩