[이데일리 김주환 기자] 중국 당국이 체류 외국인의 개인정보를 수집해 이동 동선과 인적 관계를 추적할 수 있는 대규모 감시 시스템을 구축한 정황이 드러났다.

2일(현지시간) 미국 뉴욕타임스(NYT)에 따르면 네덜란드 암스테르담에서 활동하는 사이버보안 연구자이자 언론인인 마크 호퍼(46)씨는 올해 초 인터넷상에서 중국 허베이성 장자커우(張家口)시의 ‘해외 인력 동적 통제 플랫폼’을 발견했다.

이 디지털 대시보드에는 지난 2022년 동계올림픽 공동 개최지였던 장자커우에 거주하는 외국인 700여 명을 비롯해 △난민 △유학생 △범죄 용의자 △홍콩·대만 출신 인사 △외국 언론인 300여 명 등 총 1만 2000여 명의 데이터가 등록돼 있었다.

일부는 장자커우를 방문한 적이 없었음에도 대상에 포함돼 있었다. 또 제보자인 호퍼씨의 과거 중국 체류 시절 얼굴 사진과 여권 번호, 휴대전화 번호까지 등록된 사실을 확인했다. NYT는 자사 베이징 주재 기자 등 등록된 다른 인물 6명의 정보 역시 정확하다는 사실을 인지했다.

해당 플랫폼이 수집한 데이터의 범위는 상상을 초월했다. 플랫폼에는 △이름 △여권 번호 △얼굴 사진 △생년월일 △성별 △결혼 여부 △직장 정보뿐만 아니라 교차로·시장·쇼핑몰·종교시설(모스크) 주변 CCTV 안면 인식 카메라에 포착된 기록이 초 단위로 저장됐다.

여기에 항공편과 열차 좌석 번호, 주유 및 가스요금 납부 내역, 병원 진료 기록까지 촘촘히 묶여 관리됐다.

아울러 외국인들을 국적과 성격에 따라 세분화해 관리한 정황도 포착됐다.

미국·영국·캐나다·호주·뉴질랜드 국적자는 정보동맹인 ‘파이브 아이즈(Five Eyes)’ 라벨로 별도 분류됐다. 이란·이스라엘·파키스탄·수단 등은 ‘중점 관리 국가’로 지정됐다.

시위 참여자나 반체제 인사 등은 사회 안정에 위협이 될 수 있는 ‘주요 인물(Key Persons)’로 분류됐다. 또한 인공지능(AI) 기반 ‘관계망 지도’ 기능을 이용해 CCTV에 함께 포착된 외국인들을 선으로 연결, 인적 네트워크를 시각화하는 기능도 탑재돼 있었다.

이 플랫폼은 보안조차 허술해 외부로 노출됐다. 호퍼 씨가 지난 1월 접속했을 당시 사용자 이름과 비밀번호가 이미 입력된 상태로 누구나 쉽게 데이터에 접근할 수 있었던 것으로 전해졌다. 호퍼 씨는 지난 5월 사이트가 비공개로 전환되기 전 자료를 다운로드해 NYT와 공유했다.

전문가들은 수집된 정보가 중국 출입국 당국과 경찰만 접근할 수 있는 실제 데이터임을 확인했다. 해당 시스템은 베이징의 정부 출자 기술기업 ‘오리진 다이내믹스’가 개발해 장자커우 공안국에 납품한 것으로 추정된다.

또한 실제 11개 파출소 접속 기록과 함께 장자커우 경찰서 소속 인공지능 연구소 관계자(장징룽)가 정보를 입력한 정황이 확인됐다.

이번 사태에 대해 전문가들은 중국의 무분별한 감시망 확장이 초래한 대표적인 개인정보 유출 사례라고 지적했다.

사이버보안 연구자 그레그 윌턴은 “이번 노출이 이례적인 일은 아니다”라며 “중국 감시 장비 공급업체와 공안 간 생태계 확장이 낳은 감시 시스템 난립의 결과”라고 비판했다.

한편 장자커우시 공안국과 개발사인 오리진 다이내믹스는 해명을 요구하는 NYT 취재진의 논평 요청에 응답하지 않았다.