2026.08.30 / 메르의 블로그
──────────
1. 핵심 한 줄
중국 허베이성 장자커우시 공안국의 외국인 추적 시스템이 아이디·비밀번호가 입력된 채 외부에 노출됐고, 뉴욕타임스가 이를 검증해 8월 초 보도했다.
──────────
2. 노출된 시스템의 정체
① 시스템명은 경외인원 동태관제 플랫폼(Dynamic Control Platform for Overseas Personnel, DCPOP)으로, 외국인의 움직임을 관찰하고 통제하는 플랫폼이라는 뜻이다.
② 로그인 페이지에 아이디와 비밀번호가 채워진 상태여서 엔터키만 누르면 접속이 가능한 상태였다.
③ 등록 인원은 총 1만2000명으로, 장자커우 거주 외국인 700명과 외신기자 300명, 홍콩·대만 출신자 등이 포함됐다.
──────────
3. 수집 항목과 추적 방식
① 개인별 입력 필드에 국적, 생년월일, 혼인상태, 직업, 종교, CCTV 기록, 병원 방문 이력, 공과금 납부 내역, 좌석번호가 포함된 항공·고속철도 이용기록 등이 있었다.
② 외신기자 300명은 증명사진, 소속 언론사, 여권정보, 휴대폰정보가 담겼고 기사를 쓴 기자 본인도 포함됐다. 과거 특파원 시절 여권사진과 당시 사용하던 휴대폰 번호가 그대로 등록돼 있었다.
③ CCTV로 동선을 추적하다 놓치면 안면인식으로 다시 찾아낸 기록이 있었고, 반복적으로 함께 포착된 인물을 묶는 관계망 기능도 작동했다.
──────────
4. 위험 등급 분류
① 호주·캐나다·뉴질랜드·영국·미국 국적자는 파이브 아이즈(Five Eyes, 5개국 정보공유 동맹)로 분류됐다.
② 이집트·이란·이스라엘·모로코·파키스탄·수단은 중점 국가(key countries)로, 홍콩과 대만은 별도로 분류됐다.
③ 중점 인원(key persons)은 중국 공안이 사회안정 위협 인물을 지칭하는 용어인 만큼, 중점 국가 분류도 좋은 의미는 아닐 것이라고 메르는 봤다.
──────────
5. 제작 주체와 법적 근거
① 뉴욕타임스는 공개 입찰문서를 근거로 제작사를 베이징의 오리진 다이내믹(Origin Dynamic)으로 특정했다. 경찰에 로봇·감시장비를 파는 회사이며 2023년 비중국 국적자용 정보 인터페이스 특허를 냈고, 지분 일부를 장쑤성 옌청시 정부가 보유해 순수 민간이 아니다.
② 데이터 입력자로는 장자커우 경찰 소속 장징룽이 확인됐다. 2020년 온라인 여론 감시 공로로 표창을 받았고 2025년 그의 이름을 딴 AI 연구소가 공안국 내에 설립됐다.
③ 2023년 7월 1일 발효된 반간첩법으로 당국은 간첩 혐의자의 휴대폰·노트북을 뒤지고 이메일·SNS에 접근할 권한을 확보해, 중국 내에서는 이 감시가 합법이다.
──────────
6. 발견 경로
① 최초 발견자는 뉴욕타임스가 아니라 암스테르담의 사이버보안 연구자로, 2026년 1월에 발견해 5월 개인 뉴스레터에 공개했다.
② 뉴욕타임스는 캡처된 7명 중 나머지 6명을 독자적으로 검증하고 추가 조사를 거쳐 8월에 기사를 냈다.
③ 메르는 중국 전역에서 돌아가는 자국민 감시 체계인 설량공정(雪亮工程, Sharp Eyes)의 연장선상에 이번 외국인 감시 시스템이 있다고 봤다.
──────────
7. 한 줄 요약
공안이 외국인과 기자·유학생을 추적하려고 만든 시스템이 실수로 통째로 새어나온 사건으로, 같은 CCTV라도 한국은 치안에, 중국은 감시에 쓰인다는 차이를 드러냈다.
원문: https://blog.naver.com/ranto28/224394691017