中国“境外人员动态管控平台”曝光：追踪外籍人士行踪与个人信息

大多数日子里，常驻阿姆斯特丹的网络安全研究员兼记者马克·霍弗都会在互联网上搜寻有关中国如何监控本国公民的线索，这是他之前担任驻华记者时便产生浓厚兴趣的课题。

今年早些时候，当他像往常一样进行搜索时，46岁的霍弗发现了一个名为“境外人员动态管控平台”的系统。那是一个充满未来感的控制面板——看起来就像电影《少数派报告》里的东西，似乎用于追踪中国北方城市张家口的外国人。张家口是著名的滑雪胜地，也是2022年冬奥会的联合举办城市。

系统的控制面板显示，该平台追踪着逾700名在张家口定居的外籍人士，数据库中共收录了近1.2万条记录，包括在逃人员、港台人士，以及300余名外国记者。其中一些人从未去过张家口。

突然，霍弗看到了自己的脸——那是一张中国出入境管理人员为留档而拍摄的照片。照片旁边还有他的护照号码，以及他在中国时使用过的手机号。

他目瞪口呆。“把这些东西放进去的人是能够接触到真实数据的，”他回忆道。他还注意到一份最近登录该网站的用户名单，其中包括张家口及其他城市的派出所。

借助摄像头、手机信号和居民身份证，中国对14亿人口实施着规模空前的监控。霍弗发现的这个数据库为外界提供了一个难得的窗口，得以一窥中国当局对外籍人员的监控范围之广——数据库按国籍对人员进行分类，内容包含出生日期、性别、婚姻状况、住址和职业，有时还记录宗教信仰。

系统还记录了他们在交通路口、市场、购物中心或其他场所（包括一座清真寺）被摄像头拍到的影像。

那些希望把监控平台卖给警方的中国企业经常会创建演示网页，并配以从社交媒体上抓取的人物照片和信息。但这个系统不一样，霍弗说：“这不是什么人在随便玩玩，也不像是学生或小项目能做出来的东西。”

从1月发现之日起，他便开始从该网站下载尽可能多的数据。到5月，该网站下线。

为警方打造

《纽约时报》根据公开招标文件发现，该平台与北京的长源动力科技有限公司存在关联。这家公司向警方提供机器人技术、监控服务和设备。

长源动力在2023年为一个类似系统申请了专利，将其描述为“外籍人员信息界面”，其设计和功能与张家口平台几乎完全相同。该公司部分股权由江苏省盐城市政府持有。

长源动力和张家口市公安局均未回应通过电子邮件和传真发送的置评请求。

霍弗将他保存的数据分享给了《纽约时报》。他认为该平台是为张家口市公安局设计的。其中包含只有中国的有关部门才能获取的信息，而他看到的用户日志中列出了张家口的八个派出所及其他城市的三个派出所。

目前尚不清楚警方是否或如何在工作中使用该数据库。但它的存在表明，中国的有关部门将来自监控摄像头、医疗记录、账单、人脸识别工具及其他渠道的海量数据整合起来，用以监控和分析外国居民的行为。数据库中包含常去地点、就医记录和加油付款记录等，还有乘坐过的航班和火车，包括座位号等信息。

例如，数据库记录了一名蒙古国女性的活动轨迹：她从张家口的一处住宅小区前往购物中心、餐馆和超市。数据库显示，她的部分行踪是通过人脸识别技术追踪到的。

习近平执政以来，中共以公共安全为名，大力推动利用大数据开展监控，以压制异议、防范潜在的恐怖袭击。

其他国家也在使用类似的监控系统，但人权观察亚洲事务副主任王亚秋表示，在中国，几乎没有能防止警察滥用权力的机制。

“这种数据整合程度确实前所未有，也凸显了中国在防护机制方面的缺失，”王亚秋表示。

一个没有安全防护的平台

霍弗第一次看到这个平台的登录页面时，用户名和密码已经自动填好。一个包含数百人敏感个人信息的系统竟然可以被任何能在网上找到它的人访问，这表明该系统在隐私保护方面存在严重缺陷。

曾研究过类似中国系统的网络安全研究员格雷格·沃尔顿表示，此次曝光事件并非孤例。他认为，这是中国“监控泛滥”的后果，而供应商、承包商和公安部门不断扩张的生态系统正在推波助澜。

沃尔顿是加拿大研究公司SecDev Group的高级调查员。他指出，每新增一个平台，“就意味着又多了一个敏感个人数据可能被错误配置、被复制或暴露给外部的地方。”

《纽约时报》核实了除霍弗外六人的条目信息，确认数据均属实。时报一位曾驻北京记者的信息也在其中，条目中还包含她孩子的姓名。她的名字拼写有误，但护照及其他信息均正确。

霍弗表示，张家口系统的开发工作似乎始于2021年，最近一次修改是在今年4月。数据库中的一些字段为空，或者填入了占位符，这表明该系统当时可能仍在建设之中。他在Substack平台上的新闻通讯中记录了自己的调查发现。

居民的行踪在公共场所被摄像头追踪，但该平台的数据来源并不仅限于警方。数据库中有一份外籍人士和中国公民曾到访张家口太舞滑雪小镇的名单，包括他们在那里被拍摄下来的照片、全名和护照号码。

按国籍和宗教分类

该平台将来自澳大利亚、加拿大、新西兰、英国或美国的人标记为“五眼联盟”成员。五眼联盟是这五国间的情报共享协议，北京经常批评这一联盟助长类似冷战时期的阵营对立。

平台还标注了来自所谓“重点国家”的居民——名单包括埃及、伊朗、以色列、摩洛哥、巴基斯坦和苏丹。

来自香港（2019年曾爆发大规模反北京抗议活动）和台湾（中国声称拥有主权的自治民主政体）的访客被单列出来。数据库还追踪留学生、外籍配偶以及“重点人员”——后者是中国的有关部门常用的委婉说法，用于指代活动人士、在逃人员或其他被视为对社会稳定构成威胁的人。