중국·장자커우 외국인 관리 플랫폼 보도를, 사실만으로 읽기

안녕하세요, 주식회사 TIMEWELL의 하마모토 류타입니다.

지난주, 허베이성 장자커우시 공안 당국용으로 설계된 것으로 보이는 외국인 관리 시스템이, 한동안 외부에서 열람할 수 있는 상태였다고 보도되었습니다¹. 약 1만 2000명분의 기록이 있으며, 그중 300명 초과가 외국인 기자였다고 합니다. 스크린샷에는 홋카이도신문과 블룸버그의 이름도 있었습니다².

이런 종류의 뉴스는 다루는 방식을 잘못하면 온도가 한꺼번에 올라갑니다. 그래서 처음에 입장을 적어 둡니다. 이 글에서는 중국을 비난하지 않습니다. 할 일은 두 가지뿐입니다. 무엇이 확인된 사실이고 무엇이 보도에 의한 기술인지 가르는 것, 그리고 기업이 주재원과 출장자의 운용을 어떻게 다시 설계하면 좋을지 생각하는 것입니다. 감정의 부분은 독자 각자의 것이고, 제가 더할 것이 아니라고 생각합니다.

보도는 2계통이 있다. 섞으면 사실이 흐려진다

먼저 정리가 필요합니다. 이 건은 하나의 특종이 아니라, 시기도 정보원도 다른 2편의 보도가 겹쳐 있습니다. 여기를 섞으면 「어디까지가 뒷받침된 이야기인가」가 보이지 않게 됩니다.

먼저 나온 것은 영국의 데일리 텔레그래프로, 2026년 5월에 단독 보도로 냈습니다. 그 신문의 소피아 얀 기자는, 자신의 기록이 이 플랫폼에 포함되어 있으며, 여권 번호, 휴대전화 번호, 근무처와 함께 「trackable(추적 가능)」이라고 붙어 있었다고 쓰고 있습니다³. 기자를 조회하기 위한 전용 섹션이 있고, 여권 번호, 증명사진, 사적 휴대번호, 생년월일이 들어가 있었다는 기술도 이 보도에서 나옵니다.

두 번째가 뉴욕타임스가 2026년 8월 2일에 낸 기사입니다¹. 이쪽의 출발점은 암스테르담을 거점으로 하는 사이버보안 연구자 마르크 호퍼 씨로, 호퍼 씨가 2026년 1월에 외부에서 열람할 수 있는 상태의 대시보드를 발견했습니다. 5월에는 열람할 수 없게 되어 있었다고 합니다². 호퍼 씨가 저장한 데이터를 제공받아 뉴욕타임스가 보도한 경위입니다.

일본 국내에서 3일부터 4일에 걸쳐 흘러간 기사는, 지지통신도 교도통신도 요미우리신문도, 모두 뉴욕타임스를 인용한 이차 보도입니다². 「미 신문 보도」라고 명기되어 있습니다. 여기를 잡아 두면, SNS로 흘러오는 조각이 어느 계통의 이야기인지를 스스로 판정할 수 있습니다.

그리고 또 하나 중요한 전제가 있습니다. 뉴욕타임스에 따르면, 관련이 지적된 기업과 장자커우시 공안국은 모두 취재에 응하지 않았습니다¹. 중국 외교부의 공식 코멘트도, 제가 조사한 범위에서는 확인할 수 없었습니다. 즉 이것은 당사자의 설명이 없는 상태에서 성립한 보도입니다. 적혀 있는 내용을 부정할 재료도 없지만, 한쪽 당사자의 취재에 근거한 것이라는 성질은, 읽을 때 빼놓지 않았으면 하는 부분입니다.

무엇이 기록되어 있었다고 하는가

보도된 시스템의 명칭은 「境外人員動態管控平台」, 영어로는 Dynamic Control Platform for Overseas Personnel이라고 표기되어 있습니다. 장자커우시는 2022년 베이징 동계올림픽을 공동 개최한 도시로, 스키 리조트로도 알려져 있습니다.

기록되어 있었다고 하는 항목이 이 보도의 핵심입니다. 생년월일, 성별, 혼인 상황, 주소, 직업. 여기까지는 체류 관리 정보로서 상상이 갑니다. 보도가 구체적인 것은 그다음으로, 탑승한 항공편이나 탑승한 열차가 좌석 번호까지 기록되어 있었다고 합니다¹. 더해 통원 이력, 가스요금 납부. 감시카메라, 의료기록, 청구서, 얼굴인증 같은 서로 다른 계통의 데이터를, 한 사람의 기록으로 묶는 설계였다고 보도되어 있습니다.

등록은 약 1만 2000명분. 내역으로, 장자커우시에 사는 외국인이 700명 초과, 외국인 기자가 300명 초과, 그 밖에 홍콩·대만 출신자와 유학생이 포함되어 있었다고 합니다¹. 시의 거주 외국인이 700명 규모인 데 비해 총수가 1만 2000명이라는 것은, 통과한 사람도 상당수 들어가 있었다고 읽는 것이 자연스러울 것입니다.

이 내역은 실무에 바로 연결됩니다. 시의 거주 외국인이 700명 규모인데 총수가 1만 2000명이라는 것은, 기록의 대부분은 살지 않는 사람의 것이었다는 이야기가 됩니다. 즉 단기 출장이나 환승으로 스쳐 간 사람까지 대상이 될 수 있다는 것입니다. 사내 논의는 아무래도 「주재원을 어떻게 지킬 것인가」에서 시작되지만, 인원수로 말하면 출장자 쪽이 많은 회사가 대부분 아닐까요. 1년에 몇 번, 며칠만 가는 사람에게까지 같은 전제를 공유해 두지 않으면, 인원이 가장 많은 층이 손대지 않은 채로 남습니다.

텔레그래프 보도에는 또 하나, 개인의 기록을 넘는 기능의 기술이 있습니다. 관계성 모델링, 즉 누구와, 어느 정도의 빈도로, 어떤 맥락에서 만났는지를 연결하는 장치입니다³. 개인의 점이 아니라 선과 면을 본다는 발상입니다. 제가 실무자로서 걸린 것은 여기였습니다. 자신의 행동을 조심하고 있어도, 만난 상대 쪽에서 윤곽이 그려질 가능성이 있다는 이야기이니까요.

덧붙여, 이 건에 대해서는 「AI가 자동으로 프로필을 생성한다」「특정 구역에 들어가면 경찰로 자동 통지가 간다」는 설명도 SNS에서 흐르고 있습니다. 저도 처음에는 그 요약에서 들어갔습니다. 다만, 이번에 일차에 가까운 보도를 확인한 범위에서는 확인할 수 없었습니다⁴. 쓸 수 없는 이상, 이 글에서는 다루지 않습니다. 여기는 솔직히 남겨 둡니다.

중국 제도 쪽의 틀, 즉 반간첩법이나 국가정보법이 주재원과 기업 데이터에 어떻게 걸리는지는, 반간첩법·국가정보법과 기업 리스크에서 법령의 일차 정보로 정리하고 있습니다(현재는 영문판). 본 글은 어디까지나 이번 보도의 읽는 법에 한정합니다.

「특별히 위험한 나라」라는 틀에서는, 아마 틀린다

여기가 이 글에서 가장 쓰고 싶었던 부분입니다.

이런 종류의 뉴스를 읽으면, 어느새 「그래서 중국은」이라는 결론으로 가고 싶어집니다. 하지만 실무로서 그것을 하면, 대책이 감정에 끌려가 거칠어집니다. 출장을 멈출 것인가, 멈추지 않을 것인가. 그 양자택일로 논의가 끝납니다.

조금 더 차분히 보면, 이번에 보도된 일의 구조는, 행정이 가진 복수의 데이터베이스를 개인 단위로 묶어 맞추어, 시계열로 따라갈 수 있는 형태로 만들었다는 것입니다. 이 구조 자체는 중국에 고유하지 않습니다. 출입국 기록, 교통기관의 예약 기록, 의료기록, 공공요금. 어느 나라에서도 행정이나 사업자는 이것들을 갖고 있습니다. 차이는, 그것들을 가로질러 묶는 것이 제도상 어디까지 허용되는지, 그리고 묶은 결과를 누가 열람할 수 있는지, 라는 설계에 있습니다.

여담이 되지만, 복수의 데이터를 한 사람에게 묶어 맞추고 관계를 따라간다는 기술 그 자체는, 우리가 매일 다루는 영역과도 이어져 있습니다. 수출통제의 거래처 조사에서는, 법인 등기나 자본 관계, 논문이나 특허의 공저 관계를 이어서, 우려가 있는 연결을 찾아냅니다. 하는 일의 형태는 꽤 닮아 있습니다. 다른 것은 목적과, 누가 어디까지 봐도 되는지를 묶는 통제 쪽입니다. 기술 그 자체를 나쁘다고 말해도 논의는 앞으로 나가지 않고, 같은 기술은 제재 대상의 우회를 찾기 위해서도 쓰이고 있습니다. 봐야 할 것은 통제의 설계 쪽이다, 라는 것이 제 입장입니다.

그래서 실무의 질문은 「어느 나라가 위험한가」가 아니라, 「우리가 출장지에서 생성하고 있는 기록은 무엇이고, 그것은 어디까지 묶일 수 있는가」로 바꿔 놓는 편이 정확합니다. 이 질문의 세우기라면, 대상국이 바뀌어도 절차는 바뀌지 않습니다. 답이 나오지 않는 논의에 시간을 쓰지 않아도 됩니다.

그 위에서, 이번 건에는 기업에게 구체적인 요소가 둘 있습니다. 하나는, 보도된 대상에 일본 언론 기관의 기자가 포함되어 있었다는 것. 일본인이 구체적으로 대상이 될 수 있는 이야기라는 점 자체에, 실무상의 의미가 있습니다. 다른 하나는 기록이 얼마나 촘촘한가입니다. 열차의 좌석 번호까지 남는다면, 「누구와 같은 열차로 이동했는가」는 사후에 재구성할 수 있습니다. 출장의 동행자와 방문처의 조합은, 행동 그 자체보다 많은 것을 말하는 경우가 있습니다.

담담하게 설계를 바꾼다

그러면 무엇을 하는가. 화려한 대책은 필요 없다고 생각합니다. 많은 기업이 이미 반간첩법 대응으로 정리하고 있는 절차의 연장선에 놓을 수 있을 것입니다.

출발점은 소지품의 최소화입니다. 출장에 가져가는 단말기를 평소 쓰는 업무용 노트북이 아니라 출장 전용기로 하는 것, 저장하는 데이터를 해당 출장에 필요한 범위로 한정하는 것, 현지에서 쓰는 계정을 본사의 통합 계정에서 나누는 것, 같은 부분입니다. 여기까지는 많은 회사에 이미 규정이 있을 것이고, 이번 보도는 그 규정을 「정말로 운용되고 있는가」로 다시 점검하는 기회라고 받아들이는 것이 솔직하다고 생각합니다. 규정은 있는데 운용은 느슨하다, 라는 상태가 실은 가장 많은 것 같습니다.

다음으로, 이동과 면회의 기록입니다. 누가 언제 어디로 가서, 누구를 만났는지를, 자사 쪽에서도 정확하게 파악해 둡니다. 감시받기 때문이 아니라, 나중에 설명을 요구받았을 때 우리 기록으로 설명할 수 있는 상태를 만들기 위해서입니다. 상대방의 기록만 존재하는 상황이, 가장 약한 지점입니다. 이것은 수출통제에서 거래 기록을 남기는 것과 같은 발상입니다.

그리고 귀임 시의 재고 정리. 출장 전용기의 초기화, 현지 계정의 정지, 가져온 데이터의 반입 경로 확인. 수수하지만, 빠지기 쉬운 것은 대개 여기입니다.

또 하나, 빠지기 쉬운 것이 현지 거래처나 파트너에 대한 배려입니다. 관계성이 기록될 수 있다면, 거기에 남는 것은 자사 직원만이 아닙니다. 누구를 만났다는 정보는, 상대방에게도 정보입니다. 그렇다고 면회를 줄이라는 이야기가 아닙니다. 상대의 입장에서도 설명이 되는 형태로 만나는, 그 당연한 곳으로 돌아갈 뿐입니다. 방문의 목적과 경위를 자사 기록에 남겨 두면, 나중에 쌍방에게 설명의 재료가 됩니다. 과도하게 경계하여 현지 관계를 가늘게 하는 것은, 경제안보의 관점에서도 오히려 손해라고 저는 생각합니다.

마지막으로, 사내에 전하는 방식에 대해 한 마디만. 이번 같은 뉴스를 사내 공유할 때, 「위험하니까 조심해라」로 끝내면, 현장은 움츠릴 뿐 행동이 바뀌지 않습니다. 「기록은 남는 전제로 움직인다」는 중립적인 말투가, 실제로는 지켜집니다. 공포로 사람은 움직이지 않지만, 전제가 바뀌면 절차는 바뀝니다.

사실을 갖고 있는 것의 효용

정리합니다. 뉴욕타임스가 2026년 8월 2일, 허베이성 장자커우시 공안 당국용으로 설계된 것으로 보이는 외국인 관리 시스템의 대시보드가 한동안 외부에서 열람 가능했다고 보도했습니다. 발견한 것은 암스테르담 거점의 연구자로, 2026년 1월에 찾았고, 5월에는 열람할 수 없게 되어 있었다고 합니다. 약 1만 2000명분, 그중 외국인 기자가 300명 초과. 기록의 세밀도는 열차의 좌석 번호나 통원 이력에 미친다고 보도되어 있습니다. 관련이 지적된 기업과 해당 공안국은 취재에 응하지 않았습니다.

선행하는 텔레그래프 보도에는 「trackable」 태그나 관계성 모델링의 기술이 있으며, 이쪽은 2026년 5월입니다. 계통이 다른 이야기이므로, 인용할 때는 나누는 편이 좋겠습니다. SNS에서 흐르는 자동 프로필 생성이나 자동 통지의 이야기는, 적어도 제가 확인한 범위에서는 뒷받침되지 않았습니다.

제가 이 건에서 가져간 것은, 놀라움보다 오히려 「역시 그렇구나」라는 감각이었습니다. 행정이 가진 데이터를 개인 단위로 묶어 시계열로 따라갈 수 있게 한다는 것은, 기술적으로는 특별한 일이 아닙니다. 그래서 놀라는 것이 아니라 전제로 집어넣는 편이 실무적입니다. 출장지에서 우리가 어떤 기록을 남기고 있는지를 한 번 적어 보면, 생각보다 많다는 것을 알아차릴 것입니다. 우선은 거기서부터면 충분하다고 생각합니다.

해외 거점의 운용이나 출장 규정을 경제안보의 관점에서 다시 정리하고 싶은 분은, TRAFEED의 생각이 참고가 될지 모릅니다. 개별 상황에 들어가 상담하고 싶은 경우에는, 이쪽에서 연락 주십시오.

---

Footnotes

1. The New York Times, "How China Keeps Tabs on Foreigners"(Lily Kuo, Pei-Lin Wu, 2026년 8월 2일). 시스템 명칭 "Dynamic Control Platform for Overseas Personnel", 장자커우시 공안국용으로 설계된 것으로 보이는 것, 등록이 약 1만 2000명으로 장자커우시 거주 외국인 700명 초과·외국인 기자 300명 초과·홍콩 및 대만 출신자·유학생을 포함하는 것, 기록 항목(생년월일, 성별, 혼인 상황, 주소, 직업, 탑승편 및 탑승 열차의 좌석 번호, 통원 이력, 가스요금 납부, 감시카메라·의료기록·청구서·얼굴인증 데이터의 집약), 마르크 호퍼 씨가 저장 데이터를 뉴욕타임스에 제공한 것, 베이징 기업 Origin Dynamic(옌청시 정부가 일부를 보유)과의 관련, 그리고 그 회사와 장자커우시 공안국이 취재에 응하지 않은 것은, 모두 그 기사에 따름. https://www.nytimes.com/2026/08/02/world/asia/china-surveillance-foreigners.html ／ 본문 확인에는 재게재본을 사용. https://u.osu.edu/mclc/2026/08/03/how-china-keeps-tabs-on-foreigners/ ↩ ↩² ↩³ ↩⁴ ↩⁵

2. 지지통신 「중국의 외국인 감시 데이터, 일시 오픈. 일본 기자도 게재―미 신문 보도」(2026년 8월 4일 07시 11분 배포). 미 신문 뉴욕타임스 3일자 보도로서, 허베이성 장자커우시 공안 당국의 것으로 보이는 것, 마르크 호퍼 씨가 2026년 1월에 찾아 5월에는 열람할 수 없게 되어 있던 것, 모자이크가 씌워진 얼굴사진 옆에 홋카이도신문이나 미 블룸버그통신의 문자가 있고 기자의 이름·성별·국적·여권 번호가 기재되어 있었다고 보이는 것을 보도하고 있다. https://www.jiji.com/jc/article?k=2026080400160&g=int ／ 같은 취지의 국내 보도로서 교도통신 및 요미우리신문. 모두 미 신문 보도를 인용한 이차 보도이다. ↩ ↩² ↩³

3. The Daily Telegraph의 단독 보도(2026년 5월, Sophia Yan). 외국인·기자 및 국가가 관심을 갖는다고 본 개인을 추적할 목적의 플랫폼인 것, 얀 기자 자신의 기록에 여권 번호·휴대전화 번호·근무처가 포함되고 「trackable」이라고 붙어 있던 것, 기자 조회용 섹션에 여권 번호·증명사진·사적 휴대번호·생년월일이 포함되는 것, 그리고 누구와 어느 정도의 빈도로 어떤 맥락에서 만났는지를 연결하는 관계성 모델링 기능이 있는 것은, 그 보도에 따름. 텔레그래프 공식 계정의 안내는 https://x.com/Telegraph/status/2056756282623725664 ／ 덧붙여 본 글 집필 시점에, 해당 기사 본문은 구독자용이므로 직접 확인에는 이르지 못했으며, 위는 신문 측의 공식 안내 및 다른 매체에 의한 인용에 근거한다. ↩ ↩²

4. 「AI가 인물 프로필을 자동 생성한다」「특정 구역 출입으로 경찰에 자동 통지가 간다」는 설명이 SNS상에서 유통되고 있으나, 본 글의 조사 시점에서는 위의 어느 보도에서도 확인할 수 없었으므로, 본 글에서는 다루지 않았다. 중국 외교부에 의한 공식 코멘트에 대해서도, 마찬가지로 확인되지 않았다. ↩