Marc Hofer löysi tammikuussa kiinalaiselta palvelimelta verkkosivun, jota kukaan ulkopuolinen ei olisi pitänyt nähdä. Ruudulla oli poliisin hallintapaneeli: karttoja, pylväsdiagrammeja, kasvokuvia. Hän klikkasi yhden profiilin auki ja katsoi omaa passikuvaansa. Vieressä oli passinumero ja kiinalainen puhelinnumero.
Hofer on saksalainen tietoturvatutkija, joka työskenteli aiemmin kirjeenvaihtajana Kiinassa. Löydös oli poliisin järjestelmä nimeltä "Dynamic Control Platform for Overseas Personnel", ulkomaalaisten dynaaminen hallinta-alusta, ja se palveli Zhangjiakoun kaupungin poliisia. Zhangjiakou on Hebein maakunnassa Pekingin kupeessa. Suomalaisille se on tuttu lähinnä vuoden 2022 talviolympialaisista: siellä hiihdettiin ja hypättiin mäkeä.
New York Times kertoi löydöstä 2. elokuuta. Paneelissa oli tarkat tiedot yli 700 kaupungissa asuvasta ulkomaalaisesta ja kaikkiaan lähes 12 000 merkintää. Joukossa oli yli 300 ulkomaista toimittajaa, myös sellaisia, jotka eivät olleet koskaan käyneet Zhangjiakoussa.
Kaasulasku, junaistuin, sairaalakäynti
Olennaista ei ole se, mitä yksittäinen kamera näki, vaan se, mitä paneeli yhdisti. Samaan näkymään oli kerätty kasvojentunnistuksen osumat valvontakameroista, viisumi- ja passitiedot, kiinalainen puhelinnumero, kotiosoite, lento- ja junamatkat istuinnumeroineen, sairaala- ja lääkärikäynnit sekä kotitalouden kaasulaskut.
Yksittäisinä tietoina nämä ovat tylsiä. Yhdistettynä ne kertovat, kenen kanssa ihminen istui samassa junavaunussa, milloin hän kävi lääkärissä ja oliko hän kotona. Paneeli piirsi liikkeitä kartalle: moskeijalta ostoskeskukseen, sieltä yliopiston portille. Se myös laski ihmisten välisiä yhteyksiä eli sitä, ketkä olivat toistuvasti samaan aikaan samassa paikassa.
“Kun klikkaa profiilin auki, näkee kaikki tiedonmuruset siitä, missä minut on Kiinassa poimittu talteen.”
Five Eyes -liitto ja avainmaat
Ihmiset oli jaoteltu paneelissa ryhmiin. Australian, Kanadan, Uuden-Seelannin, Britannian ja Yhdysvaltain kansalaiset oli niputettu otsikon "Five Eyes -liitto" alle. Oma luokkansa oli "avainmailla", joihin kuuluivat muun muassa Egypti, Iran, Israel, Marokko, Pakistan ja Sudan. Erikseen oli listattu Hongkongin ja Taiwanin asukkaat, ulkomaiset opiskelijat sekä "avainhenkilöt", joita poliisi piti turvallisuusriskeinä.
Suomea ei julkisuuteen kerrotuissa luokitteluissa mainita omana ryhmänään. Se ei tarkoita, että suomalaiset olisivat listojen ulkopuolella: EU-maiden kansalaiset kirjautuvat Kiinassa samoihin viisumi-, hotelli- ja rekisteröintijärjestelmiin kuin muutkin ulkomaalaiset, ja juuri niistä paneelin data oli koottu.
Mitä tämä tarkoittaa Kiinaan matkustavalle?
Zhangjiakou on keskikokoinen kiinalaiskaupunki, ei pääkaupunki eikä Xinjiang. Jos tällainen paneeli oli käytössä siellä, järkevä oletus on, että vastaava on käytössä muuallakin.
Käytännössä se tarkoittaa, että toimittajan haastattelemat lähteet, tutkijan tapaamat kollegat ja liikematkustajan neuvottelukumppanit voivat päätyä samaan yhteysverkostoon kuin matkustaja itse. Kukaan heistä ei saa siitä tietoa.
Kuka paneelin rakensi
New York Timesin selvityksen mukaan järjestelmä kytkeytyy pekingiläiseen Origin Dynamic -yhtiöön, joka toimittaa poliisille robotiikkaa ja valvontalaitteita. Yhtiö haki vuonna 2023 patenttia järjestelmälle, jota se kuvaili tietokäyttöliittymäksi ei-kiinalaisille kansalaisille. Kuvaus vastaa Zhangjiakoun paneelia lähes yksi yhteen.
Vanhimmat merkinnät ovat vuodelta 2021, laajamittainen seurantaloki alkaa vuodesta 2023. Hofer latasi aineiston tammikuussa. Toukokuuhun mennessä sivu ei enää vastannut. Kiinan viranomaiset eivät ole kommentoineet asiaa.
Taustalla on Kiinan Xueliang- eli kirkkaat silmät -ohjelma, jonka tarkoitus on liittää erilliset kamera- ja rekisteriverkot yhteen näkymään. Kiinassa on yli 700 miljoonaa valvontakameraa. Kameroiden määrä ei silti ole tässä uutta, vaan se, että yhden kaupungin poliisi sai ne yhdelle ruudulle ilman kunnollista suojausta.
Miksi tällä on väliä Suomessa
Kiinassa käy vuosittain suomalaisia toimittajia, tutkijoita, opiskelijoita ja yritysten edustajia. Heille vuoto on hyvin konkreettinen muistutus: matkapuhelin, junalippu, hotellikirjautuminen ja apteekkikäynti eivät ole erillisiä tapahtumia vaan saman profiilin peräkkäisiä rivejä.
Suomalaisilla on aiheesta jo esimakua. Yle kertoi vuonna 2020 kiinalaisen Zhenhua Datan vuotaneesta aineistosta, jolla oli 794 suomalaista, joukossa poliitikkoja ja heidän lähipiiriään. Erona on, että Zhenhuan aineisto oli haravoitu avoimista lähteistä. Zhangjiakoun paneeli koostuu viranomaisrekistereistä ja reaaliaikaisesta kameradatasta.
Yhdysvaltain hallinnon virkamiehet ovat matkustaneet Kiinaan kertakäyttöpuhelimilla ja tyhjennetyillä läppäreillä, hotellin wifiä ja paikallisia latauspisteitä vältellen. Suomalaisyrityksissä sama käytäntö on toistaiseksi harvinaisempi, vaikka teknologia-, akku- ja telealan neuvottelut vievät suomalaisia Kiinaan säännöllisesti.
Kuvio on tuttu muualtakin: paljastukset syntyvät yhä useammin siitä, että jokin datajoukko on auki. AI Suomi kertoi aiemmin, kuinka satelliittikuvista näkyi vaurioita, joista yhtiö itse vaikeni. Toinen kysymys on, kuka ehtii reagoida. Eräs professori arvioi AI Suomelle, että päättäjiä viedään teknologia-alalla kuin pässiä narussa.
