深度专题 | 中国公司营运的“纸墙”，遍布30国（上）

[WendyWu]

与GWM（长城汽车）相关的商业新闻稿范例组合，在6天内（2023年10月25日至31日）被发到6个不同的“纸墙”网站。(photo:RFA)

前言：加拿大“公民实验室”（Citizen Lab）在2月初发表的一份研究报告中，揭露了一项名为“纸墙”（PAPERWALL）的行动。研究报告发现，包括欧洲、亚洲、拉丁美洲等，超过30个国家都发现了假冒该国新闻的媒体网站，总数达到123个。这些网站都在中华人民共和国境内营运，以全球受众为目标，频繁发布“亲北京”的内容，然后又有技巧的将攻击异议者的文章在发布后不久删除。

而这项行动与中国深圳市一家公关公司“海脉云享”（Shenzhen Haimaiyunxiang Media Co., Ltd.)高度关联。

本篇专题报导根据报告原文编译而成，亚洲事实查核实验室对翻译内容负全部责任，小标题也为本文编辑所加。 报告的英文原版链接

。另，亚洲事实查核实验室还对作者阿尔贝托·菲塔雷利进行了专访

，深度解读中国信息战技术沿革和未来趋势。

在此

在意大利、韩国出现的“地方媒体”

2023年10月25日，意大利《页报》（Il Foglio）发表了一篇文章，揭露了一个由6个网站组成的小型网络，这个网络向意大利受众提供新闻内容，却与意大利任何媒体都无关联。《页报》的调查证实，这些网站并未按照该国法律要求，注册成能合法传播资讯的新闻媒体。

这个小型网络的网站有着特定的命名规则：先以意大利语拼写意大利城市，罗马（Roma）、米兰（Milano），后面再接一些看似平凡的用语，如“时尚”、“金钱”、“日志刊物”等。这些网站在结构、版面和内容上都十分相似，都是一些政治、犯罪、娱乐文章，但其中夹杂着大量与中国相关的新闻，有的甚至源自中国的新闻机构。

《页报》声称，根据网页内容以及6个网域解析出的IP位址，显示该IP由中国腾讯公司拥有，主要在中国运作，而且背后可能就是中国政府。《页报》暗示或许存在更广泛的相关网络，但没有披露更多资讯。

2023年11月13日，韩国国家网路安全中心（NCSC）也发布报告，揭露了18个冒充韩国本地媒体的韩语网站，实则与中国公关公司“海脉”有关。这间公司也利用发布新闻的机会替客户打广告。韩国发现的这些虚假网站，无论是技术结构还是作案手法，都与上述《页报》曝光的6个意大利语网站非常相似。“公民实验室”因此着手研究整个网路，目的是发现更多相关网站，其策略、目标、影响，以及相关行动的背后藏镜人。

“纸墙”的初始设定

基于DNS基础架构的重叠，公民实验室将《页报》最初辨识出的网路扩展到74个网域，这些网域大多可以透过3个它们所解译的IP位址识别出来。

这些IP位址上托管的网域数量相对较少，不到100个，但理论上每个IP可以代管上千个网域。 这可能表明这些IP仅连结到一个业者，而不是多个客户端供应商。

“公民实验室”从《页报》原始文章中所确定的6个网域开始：

《页报》所辨识出的6个代管意大利语网站的网域名称。 （图片来源：PAPERWALL报告）(photo:RFA)

根据软体公司“RiskIQ”提供的DNS数据，“公民实验室”发现上述网域在过去2年，至少能解译到以下3个IP位址的其中1个：

自2021年以来6个网域解译的IP位址列表。 （图片来源：PAPERWALL报告）(photo:RFA)

自2018年4月以来，“公民实验室”还发现其他至少与这3个IP位址其中1个相关的网域，并获得以下74个网域的清单，这74个网域清单也与《页报》提到网域一样，能解译到3个IP位址。

“公民实验室”也验证出这些网域在多个国家或地区，除了少数例外，都有代管冒充新闻媒体的网站，其中许多似乎用了前述“城市+通用字汇”的命名规定。

“纸墙”相似的结构和外观

“公民实验室”也透过在韩国NCSC报告里所提到的网站，识别出其他网域，并确认它们与“纸墙”的特征相符，包括：

“公民实验室”强调，只要满足某些条件，任何私人客户都可以提出服务要求。腾讯云端服务的文件内容也显示，该公司的要求门槛非常低。实际上，经营网站的任何个人或企业，都可以透过订购其云端服务，将网域指向腾讯的IP位址。

3.“公民实验室”还透过一种称为“使用者姓名列举”的技术，分析了在“纸墙”网站上，发布内容的使用者名称，显示整个网路共享一些相同的作者姓名，例如有44个网站使用姓名叫”Tina”、28个”Chunqt”、26个”Sophia”等。

就外观来看，所有识别出的网站主页选单几乎长得一样，通常包括政治、经济、文化、时事和体育。至于发布的内容，则是由从当地媒体抓取及转发的内容、新闻稿、中国官媒文章、匿名假资讯等等混合而成，通常还会同时在多个网站交叉发布。

与GWM（长城汽车）相关的商业新闻稿范例组合，在6天内（2023年10月25日至31日）被发到6个不同的“纸墙”网站。但“公民实验室”强调尚未发现任何证据，表明长城汽车知道其内容被用在欺骗性活动。（图片来源：PAPERWALL报告）(photo:RFA)

“纸墙”遍布30多国

截至2023年12月21日，“公民实验室”共识别出123个网域，几乎每一个都有代管了冒充新闻媒体的网站。

再根据所使用的语言和转发的本地新闻内容来源，“公民实验室”观察到这个冒充本地媒体的网络，存在于30多个不同国家，如下图所示。

“纸墙”目标受众地图，最深的红色表示该国冒名网站超过10个，其次为2到9个，最浅为1个。（图片来源：PAPERWALL报告）(photo:RFA)

为了看起来与合法的本地新闻媒体相仿，“纸墙”通常会针对其网站名称做局部引用。例如，法语网站就用“艾菲尔”或“普罗旺斯”；挪威语网站则使用“维京”；或是像意大利及西班牙语网站一般，经常使用城市命名。

napolimoney[.]com（意大利）、eiffelpost[.]com（法国）、sevillatimes[.]com（西班牙）的命名模式范例。（图片来源：PAPERWALL报告）(photo:RFA)

针对网域注册时间轴的更广泛观察，也显示了这些网站是如何一次锁定一个目标国家（或地区），被一波波建立起来。2019年7月，updatenews[.]info成为“纸墙”第一个注册的网域。然而，由于Wayback Machine上的注册资料模式和存档获取等问题，我们只能从2020年5月开始将其与“纸墙”建立联系。该代管网站主要发布与美国读者相关的新闻。

与此同时，网域wdpp[.]org也在2020年4月被注册了，该网站使用腾讯的IP位址，也能连结到updatenews[.]info和其他16个“纸墙”相关网域，这点对于归因溯源非常重要。

2020年7月，有9个网域同时注册，每个都负责代管一个针对日本受众的网站，其中一个fujiyamatimes[.]com，就有页脚显示它与“Updatenews”的连结。

紧接着这波潮流又先后瞄准了韩国、日本的受众；从2021年2月开始，焦点转移到欧洲国家，然后在2023年初又转到拉丁美洲国家。下图显示了相关注册潮的概况。

“纸墙”网域注册时间表，附有日期、目标国家/地区的相关注解。 （图片来源：PAPERWALL报告）(photo:RFA)

谁在操控“纸墙”？

“公民实验室”分析指出，“纸墙”虽然与2022年，美国资安公司麦迪安（Mandiant）揭露的“海能量”（HaiEnergy）行动相似，但两者的操作者、技术、策略、伎俩并不同，属于互相独立的活动。

“公民实验室”追查发现，“纸墙”大部分的内容，都可追踪到一家名为“Times Newswire”的新闻稿发布服务公司，常将对北京有利的政治内容，隐藏在大量看似良性的商业报导里；该公司先前曾被发现也为“海能量”提供相关服务。 进一步探究后显示，“纸墙”又与深圳市一家公关公司“海脉云享”（Shenzhen Haimaiyunxiang Media Co., Ltd.）有关。种种发现都证实，民间企业在数位影响力领域所扮演的角色日益重要，以及中国政府如何利用这些民企，以这些假冒的网站，加深对在地媒体及目标受众的风险。

之所以需要曝光中共这类活动，是因为透过这些表面看似良性无害的新闻内容，可以增加攻击的可信度、扩大攻击范围，这对北京的批评者来说可能更加致命，严重的话，或许 会导致他们于所在国家的合法性被剥夺、失去工作机会，甚至遭到骚扰和恐吓。

延伸阅读：“纸墙”报告中文编译下篇；

亚洲事实查核实验室专访“纸墙”作者

亚洲事实查核实验室（Asia Fact Check Lab）针对当今复杂媒体环境以及新兴传播生态而成立。我们本于新闻专业主义，提供专业查核报告及与信息环境相关的传播观察、深度报道，帮助读者对公共议题获得多元而全面的认识。读者若对任何媒体及社交软件传播的信息有疑问，欢迎以电邮afcl@rfa.org寄给亚洲事实查核实验室，由我们为您查证核实。

亚洲事实查核实验室在X、脸书、IG开张了，欢迎读者追踪、分享、转发。X这边请进：中文@asiafactcheckcn；英文：@AFCL_eng、FB在这里、IG也别忘了。