[여권·얼굴·동선·관계망까지…中공안의 외국인 감시 시스템]

중국에 입국하는 순간, 외국인의 여권과 얼굴만 기록되는 것이 아니었다. 어디에 사는지, 누구와 함께 다니는지, 어느 쇼핑몰과 식당을 찾았는지, 심지어 종교와 병원 이용 기록까지 하나의 공안 대시보드에 통합되고 있었다. 중국 허베이성 장자커우에서 발견된 이 시스템에는 외국인을 중심으로 홍콩·대만 출신자와 도주자 등 약 1만2000명의 정보가 등록돼 있었다. 시스템의 실제 운용 범위는 아직 명확하게 확인되지 않았지만, 중국의 거대한 감시망이 자국민을 넘어 외국인에게까지 뻗어가고 있다는 사실만큼은 분명하게 드러났다.

뉴욕타임스(NYT)는 2일(현지시간), 릴리 쿠오와 페이린 우 기자의 공동취재를 통해 중국 장자커우 공안당국을 위해 제작된 것으로 보이는 ‘해외인원 동태관제 플랫폼’의 실체를 공개했다.

NYT는 “이 시스템을 처음 발견한 사람은 암스테르담에 거주하는 사이버보안 연구자이자 전직 중국 특파원인 마크 호퍼로, 호퍼는 올해 초 인터넷에 노출된 중국의 보안 시스템을 살펴보다가 영화 ‘마이너리티 리포트’를 연상시키는 감시 대시보드에 접속했다”면서 “놀랍게도 로그인 화면에는 사용자 이름과 비밀번호가 이미 입력돼 있었으며, 별도의 인증 절차도 필요하지 않았는데, 몇 차례 클릭만으로 중국 공안당국만 보유할 수 있는 여권번호와 얼굴 사진, 전화번호, 이동 경로 등 민감한 개인정보가 쏟아져 나왔다”고 보도해 충격을 주었다. 

NYT에 따르면 더 충격적인 장면은 그다음이었다. 호퍼는 데이터베이스 안에서 중국 출입국 당국이 촬영한 자신의 얼굴 사진을 발견했다. 중국에서 사용했던 휴대전화 번호와 여권번호도 정확하게 기록돼 있었다. 호퍼는 “이 정보를 입력한 사람은 실제 정부 데이터에 접근할 수 있는 권한을 가진 인물이었을 것”이라고 말했다. 그가 확인한 최근 로그인 기록에는 장자커우 소재 파출소 8곳과 다른 도시 파출소 3곳의 이름도 남아 있었다.

[700명 집중관리, 1만2000명 정보 등록]

여기서 두 숫자를 구분해 볼 필요가 있다. 시스템은 장자커우에 장기 체류하는 외국인 약 700명을 주요 관리 대상으로 표시했다. 그러나 전체 데이터베이스에는 단기 방문자와 외국인 기자, 유학생, 홍콩·대만 출신자, 도주자 등을 포함해 약 1만2000명의 정보가 등록돼 있었다. 일부는 장자커우를 방문한 기록조차 없는 인물이었다.

따라서 공안이 1만2000명 전원의 움직임을 실시간으로 추적했다고 단정하기는 어렵다. 하지만 일부 등재 인물에 대해서는 안면인식 카메라를 통해 수집된 구체적인 동선이 실제로 기록돼 있었다.

대시보드에는 몽골 국적 여성 한 명이 주거단지를 출발해 쇼핑몰과 식당, 슈퍼마켓을 방문한 과정이 시간대별로 나타났다. 교차로와 시장, 학교 출입구뿐 아니라 이슬람 사원 등 종교시설에서 카메라에 포착된 기록도 시스템에 들어가 있었다.

수집 대상은 단순한 신원정보에 그치지 않았다. 이름·생년월일·국적·여권번호와 함께 주소, 직업, 혼인 여부, 종교가 기록됐다. 여기에 호텔 투숙 기록과 항공기·열차 탑승 정보, 좌석 번호, 병원 진료 이력, 가스요금 납부 내역까지 결합할 수 있도록 설계돼 있었다.

개인의 신원을 확인하는 시스템이 아니라, 한 사람이 어디에서 생활하고 누구를 만나며 어떤 행동을 하는지 재구성하기 위한 통합 감시망이었던 셈이다.

[누구를 만났는지까지 지도화했다]

이 플랫폼에서 특히 주목되는 것은 ‘관계망 분석’ 기능이다. 시스템 시연 화면에는 20대 파키스탄 국적 남성 3명이 카메라에 함께 포착되자 서로 연결된 인물로 표시되는 장면이 담겨 있었다. 특정 외국인의 개별 행동을 추적하는 데서 한 걸음 더 나아가, 그가 누구와 만나고 어떤 집단과 연결되는지를 자동으로 지도화할 수 있도록 설계한 것이다.

이 기능이 실제 공안 업무에 전면 활용됐는지는 확인되지 않았다. 그러나 현실의 개인정보와 경찰기관 로그인 기록이 남아 있다는 점에서 단순한 전시용 모형으로 치부하기도 어렵다.

중국에서 활동하는 외국 언론인에게는 더욱 심각한 문제다. 기자의 이동 경로뿐 아니라 취재원과 접촉한 시간과 장소까지 관계망으로 축적될 경우, 취재원 보호라는 언론 활동의 기본 원칙 자체가 무너질 수 있기 때문이다.

플랫폼에는 ‘기자’, ‘유학생’, ‘영주권자’, ‘외국인 배우자’, ‘용의자’, ‘도주자’, ‘핵심 인물’ 등의 메뉴가 별도로 마련돼 있었다. 중국 당국이 외국인을 단순한 방문자나 체류자가 아니라, 위험도에 따라 분류하고 관찰해야 할 잠재적 대상으로 바라봤다는 의미다.

[파이브 아이즈·홍콩·대만 별도 분류]

국적에 따른 정치적 분류도 뚜렷했다. 미국·영국·캐나다·호주·뉴질랜드 출신자는 정보공유 협정인 ‘파이브 아이즈(Five Eyes)’ 소속으로 묶였다. 이집트·이란·이스라엘·모로코·파키스탄·수단 출신자는 ‘핵심 국가’로 분류됐다.

2019년 대규모 반정부 시위가 발생한 홍콩과 중국이 자국 영토라고 주장하는 대만 출신자를 위한 별도 항목도 마련돼 있었다. 표면상 외국인 체류 관리 시스템이지만, 실제 구조에는 중국공산당의 안보관과 정치적 경계심이 그대로 투영된 것이다.

장자커우 소재 허베이북방학원에 재학하는 파키스탄·인도 출신 유학생들의 프로필에는 종교와 혼인 여부, 전공은 물론 학교 출입구에서 카메라에 포착된 시각까지 기록돼 있었다.

중국의 법규를 위반해 처벌받은 외국인 명단도 존재했다. 주소 변경을 신고하지 않아 1000위안의 벌금을 받은 사례와 허가 없이 강의하다 적발된 외국인의 기록 등이 포함됐다.

[지방정부와 민간기업이 만든 ‘감시 상품’]

NYT는 공공입찰 문서 등을 근거로 “해당 플랫폼이 베이징의 로봇·감시장비 업체 ‘오리진 다이내믹’과 연결돼 있다”고 보도했다. 이 회사는 공안기관에 감시장비와 관련 서비스를 공급해왔으며, 지방정부와 연계된 국유자본이 일부 지분을 보유한 것으로 나타났다.

오리진 다이내믹은 2023년 ‘비중국 국적자용 정보 인터페이스’라는 이름으로 장자커우 시스템과 디자인과 기능이 거의 동일한 플랫폼의 특허를 출원했다.

이 대목은 중국의 감시망이 중앙정부의 단일한 비밀 프로젝트에 머물지 않는다는 사실을 보여준다. 지방정부가 사업을 발주하고 민간기업이 감시 시스템을 개발해 하나의 상품처럼 공급하는 거대한 산업 생태계가 형성됐다는 것이다.

사이버보안 전문가 그렉 월튼은 이를 ‘감시 확산’이라고 진단했다. “새로운 감시 플랫폼이 하나씩 늘어날 때마다 민감한 개인정보가 복제되거나 잘못 설정되고, 외부에서 발견될 수 있는 접점도 함께 늘어난다”는 의미다.

이번 시스템 역시 수많은 개인정보를 저장하고도 인터넷 검색을 통해 접근할 수 있을 정도로 무방비 상태였다. 감시 대상자의 사생활은 철저히 들여다보면서도, 정작 수집한 정보를 보호할 장치는 허술했던 것이다.

NYT는 연구자들이 앞서 확인한 자료를 인용해 “이 플랫폼은 외국인 기자와 유학생 등을 별도로 분류하고, 카메라·비자·여행 및 안면정보를 결합하도록 만들어진 것으로 나타났다”면서 “다만 운영 상태는 불분명했고 일부에 실제 개인정보가 섞여 있었다는 점에서, 미완성 시스템과 현실 데이터가 결합된 형태였을 가능성이 제기됐다”고 밝혔다.

[단순한 시험용인가, 전국 확산의 전조인가]

NYT는 “호퍼가 확보한 자료에 따르면 장자커우 시스템 구축은 2021년경 시작됐으며, 올해 4월까지도 업데이트가 이어진 것으로 보인다”면서 “일부 항목은 비어 있거나 더미 텍스트로 채워져 있었다”고 짚었다.

이를 근거로 시스템 전체가 시험용이었다고 단정할 수는 없다. 반대로 실재 인물의 여권정보와 얼굴 사진, 동선 기록, 공안기관 로그인 흔적이 발견됐다는 점에서 단순한 시연용 화면이라고 보기도 어렵다.

오히려 장자커우 플랫폼은 구축 중인 감시 시스템에 실제 정부 데이터가 흘러 들어간 과도기적 형태일 가능성이 있다. 그렇다면 더욱 심각하다. 중국의 다른 도시에서도 비슷한 시스템이 개발되고 있거나 이미 운용되고 있을 가능성을 배제하기 어렵기 때문이다.

실제로 2021년에는 중국 허난성이 외국 기자를 위험도에 따라 분류하고 추적하기 위한 유사 시스템을 발주했다는 사실이 공개된 바 있다. 장자커우 사례가 고립된 일회성 프로젝트가 아니라, 외국인을 별도 감시 대상으로 관리하려는 보다 광범위한 정책의 한 단면일 수 있다는 의미다.

[한국인도 결코 안전지대가 아니다]

공개된 ‘핵심 국가’ 목록에 한국은 포함되지 않았다. 그렇다고 한국인 체류자와 기업 주재원, 유학생, 특파원이 감시 대상에서 제외됐다고 볼 근거는 없다.

플랫폼이 외국인의 국적과 직업, 종교, 이동 경로를 폭넓게 수집하고 특히 ‘기자’ 메뉴를 별도로 운영하도록 설계됐다는 점에서 한국 특파원 역시 잠재적 관리 대상이 될 수 있다. 관계망 분석 기능까지 실제로 사용된다면 한국 언론인과 접촉한 중국인 취재원의 신원도 함께 노출될 수 있다.

중국에서 휴대전화를 사용하고 호텔에 투숙하거나 열차를 타고, 쇼핑몰과 학교를 방문하는 평범한 일상 자체가 하나의 데이터로 결합될 수 있다는 뜻이다.

휴먼라이츠워치의 마야 왕 아시아 담당 부국장은 “다른 국가도 감시 시스템을 운용하지만 중국에는 공안의 권한 남용을 견제할 독립적 안전장치가 거의 없다”고 지적했다. 기술의 존재보다 더 위험한 것은 누가, 어떤 기준으로, 누구를 감시 대상으로 지정했는지 외부에서 확인할 방법이 없다는 점이다.

[Why Times Insight]

장자커우에서 드러난 것은 단순히 외국인 1만2000명 안팎의 정보가 저장된 데이터베이스가 아니다. 중국공산당이 외국인의 신원과 이동, 생활정보, 인간관계를 하나의 화면에 통합하고, 이를 지방정부와 민간업체가 복제 가능한 ‘감시 상품’으로 만들어가는 구조다.

1만2000명 전원이 실시간으로 추적됐다고 단정할 수는 없다. 그러나 일부 인물의 실제 동선과 여권정보, 공안기관의 로그인 기록이 확인됐다는 사실만으로도 경고음은 충분히 크다.

더욱 섬뜩한 지점은 장자커우가 끝이 아니라 시작일 가능성이다. 한 지방도시에서 이런 플랫폼이 발견됐다면, 베이징과 상하이 등 외국인이 집중된 주요 도시의 감시망은 과연 어느 수준까지 구축돼 있을까.

중국에 들어간 외국인은 더 이상 단순한 방문객이 아니다. 공안의 카메라와 데이터베이스 속에서 국적과 직업, 종교와 인간관계에 따라 분류되고 언제든 ‘핵심 인물’로 전환될 수 있는 잠재적 감시 대상이다. 중국의 ‘빅브라더’는 이제 자국민만 바라보고 있지 않다.