市一医院病房，上午的日光透过被水雾蒙住的玻璃窗照进来，光线被滤得柔和。

监护仪的绿光平稳跳动，滴滴声响间歇回荡。林泽半靠床头，后背垫两层枕头，鼻腔出血已经止住，但是中度反噬带来的头部钝痛没有消退。他刻意压制大脑，不去做多线因果推演，只接收各方传递过来的客观碎片信息，但凡思绪要向多层分支蔓延，就立刻停下来闭目静养。

苏曼坐在陪护椅，平板亮度压至很低，屏幕上是陈默上一章回传的报文。一行残缺的高危操作时间戳孤零零停留在文档段落末尾。

“时间戳已经导入时间轴排版工具。”苏曼指尖点在屏幕，“陈默那边已经把三年前风控系统公开版本迭代记录、项目排班表、服务器运维日志这些公开可查资料全部导入，正在做对齐匹配。”

林泽视线落在窗户，外面街道车流声响断断续续穿透玻璃传进屋内。

“只做对齐匹配，禁止脑补事件。”林泽嗓音偏低，胃部残留闷胀时不时泛起，“时间戳只能证明那个时间点发生过一次高危行为，究竟是上传数据包、擦除分区，还是账号登录，损坏扇区拿不到描述字段，不能下任何定论。”

苏曼编辑加密报文，把这条约束发送给陈氏科技机房。发送完毕马上切回飞行离线，不维持任何网络长连接。

镜头切换，陈氏科技机房。

机房冷白色灯光铺满机柜阵列，设备风扇持续嗡鸣。参与日志修复的四名技术人员依旧封闭式办公，个人手机全部收纳进保险柜锁死，机房出入口安排专人值守，外部访客一律禁止入内。

陈默站在主操作台之前，显示器分割为三块窗口。第一块是残缺日志碎片与陌生账号元数据；第二块导入三年前瑞科风控系统公开迭代记录、项目人员排班表；第三块是空白时间轴画布，程序自动把各个事件节点按先后顺序排布。

一名技术人员鼠标拖动，把解析出来的残缺时间戳锚定到时间轴。

“时间戳落在正式项目测试启动前七天。”技术人员指着屏幕上的刻度，“正好对上周瑞安在茶馆包间给出的那条时间差线索。”

另一名技术人员调出该账号两次登录的IP解析结果。

“第一条登录IP，物理定位，城铁项目筹备指挥部隔壁那栋商用写字楼。当年那栋楼里面，除了城铁前期筹备组，还零散入驻十几家小型科技咨询公司。”

屏幕弹出一张当年工商登记地址匹配截图。

“第二条登录记录，内网IP，确定是瑞科本部测试机房，内网网关、子网掩码全部吻合。这条登录发生在第一条登录的四十八小时之后。”

陈默盯着屏幕上两行IP解析结果。

“第三次登录记录。”陈默开口。

“第三次登录同样来自瑞科测试机房内网。登录完成之后，紧接着触发批量分区覆盖写入动作。”技术人员点开对应的元数据，“日志分区的文件修改时间全部被重置，原始操作记录就消失在这一步。镜像备份能抓到‘批量覆盖’这个行为元数据，但是覆盖进去的是什么内容，读取不出来。”

陈默的手指在桌面轻轻叩击。

“也就是说，完整链路：外部写字楼登录接入，四十八小时之后进入瑞科内部测试机房，第三次登录，执行批量日志分区覆盖。”

“从现有元数据只能还原这一串行为轨迹。”技术人员如实答复，“账号明文ID存储扇区物理损坏，数据包载荷全部损毁。我们看得见他来过什么地方，做过一次覆盖日志的动作，但看不见账号是谁在操作，看不见上传过什么东西。”

陈默看向三份分开异地保管的冷备份硬盘。所有解析出的元数据、时间轴图表、IP定位结果，全部已经多次写入三份硬盘。

他心里分得很清楚，这一堆材料依旧全部属于第三方镜像衍生线索。不是瑞科机房原生档案。如果提交监管部门，只能当做调查提示，不能当做定罪证据。取证的每一步，都游走在规则的灰色缝隙。

他拿起加密终端，整理报文。如实报送三段登录轨迹，不做主观定性。报文末尾带上自己简短的客观提醒，没有长篇说教。

“元数据还原三段登录行为，账号先后出现在城铁筹备隔壁写字楼、瑞科测试机房，第三次登录之后执行日志分区批量覆盖。账号明文ID、数据包载荷物理损毁，无法恢复。全部材料来源于早年项目迭代镜像，非瑞科原生档案，证据效力存在先天短板。”

加密报文向外发送。

市一医院病房，苏曼的加密软件收到推送。她逐行阅读完毕，转述给床上的林泽。

林泽听完，太阳穴一阵钝痛向上蔓延，他闭上眼睛静坐片刻，等痛感回落才开口说话。

“不是普通测试账号。”林泽语速平缓，“普通测试账号，不会先在外边商用写字楼登录，再跑进瑞科内网机房，最后动手抹掉自己的操作痕迹。普通岗位，也不会分配到日志分区擦除权限。”

“专门为植入后门创建的通道账号。”苏曼复述判断。

“判断只能停留在我们内部研判。”林泽提醒，“不要写进任何可以导出的文档，不能向外转述这个结论。元数据只能证明行为轨迹，不能直接证实‘植入后门’这件事本身。”

苏曼把报文原始内容留存，没有把“通道账号”这个判断写进电子笔记。

就在这时，平板又弹出一条新消息，来自苏曼安插在瑞科集团外围的匿名线人。报文经过多层乱码中转，本地解密之后内容很短。

“档案室收到内审调阅申请之后，周瑞安的秘书不光收到流程告警。十五分钟前，档案室一名档案管理员被周瑞安秘书单独叫到副总裁办公室谈话，谈话时长接近四十分钟。谈话结束，档案管理员返回档案室，档案室内部监控录像做了一次手动备份，备份文件被人带走。”

苏曼把报文念给林泽听。

林泽听完，缓缓吸气。

“调阅申请刚递交上去，立刻约谈档案管理员，带走档案室监控备份。”林泽说道，“他们已经提前预判到内审会顺着临时权限账号这条线往下挖。开始在档案室这个环节布防。”

“那秦雪这边的调阅，会不会直接拿到一堆空白或者残缺材料？”苏曼问。

“库房搬迁遗失，归档锁定，再加上现在约谈档案管理员。”林泽说，“多重合规外壳叠加。最后的结果很大概率，纸质审批单找不到，档案室监控备份被带走，就算能给到一部分材料，也是筛选之后的副本。”

病房的门轻轻叩响两声。

苏曼快速把平板锁屏倒扣床头柜，起身走到门边，拉开一条门缝。门外是巡房护士，手里拿着体征登记板。

“测血压心率。”护士压低声音。

护士进门完成体征测量，血压数值依旧偏高。

“不要长时间动脑思考，情绪也不能起伏。再出现流鼻血、头部剧烈疼痛，一定要立刻呼叫。”护士登记完数据，收好仪器，轻手轻脚离开，房门重新合上。

苏曼再一次解锁平板。

“要不要给秦雪发一条补充匿名提示。”苏曼询问。

“可以发。依旧只给最小必要客观事实。”林泽思索片刻，“不要讲林泽、茶馆会面、镜像日志这些信息。只告知：内审提交风控旧权限记录调阅申请之后，档案室管理员被周瑞安秘书约谈，档案室监控备份被带走。不要附加推测，只陈述已经发生的事件。”

苏曼编辑简短匿名报文，通过多层中转渠道投递出去，发送之后立刻清除本机编辑痕迹。

场景切换，瑞科集团，秦雪独立办公室。

窗帘半拉，桌面铺满内审卷宗复印件，绝大多数复印件只剩目录，关键附件全部缺失。电脑弹出匿名加密报文。

秦雪读完报文，指尖停留在屏幕文字。

之前她只知道调阅申请触发流程告警。现在新增信息，档案管理员被约谈，档案室监控备份被人取走。

她拿起内线电话听筒打给内审组长。

“档案室那边，你安排的人过去调取风控系统旧权限纸质审批单，现在进展如何。”

听筒对面传来内审组长的答复。

“秦总，刚刚从档案室反馈回来。一部分对应时期纸质审批单据，归类标注库房搬迁遗失。留存下来的少数几份纸质材料，只允许现场查阅，不允许复印、不允许拍照。档案室对外提供的，只有手写摘抄摘要。档案室的监控录像，答复说存储硬盘出现故障，近期部分时间段录像无法调阅。”

秦雪的手指，慢慢捏紧听筒手柄。

硬盘故障，库房搬迁遗失，禁止复印拍照。一套组合下来，内审能拿到手的，只有档案室工作人员手写出来的摘抄摘要。摘抄内容，完全经过对方筛选。

“那线上归档的OA旧版本记录。”秦雪继续问。

“线上归档分区设置权限锁死。调阅需要副总裁周瑞安本人签字审批。我们的调阅申请卡在审批节点。”内审组长如实汇报，“还没有批下来。”

秦雪沉默几秒。

“我知道了。”秦雪说完挂断电话。

她坐在办公桌后面，目光扫过桌面上一堆残缺卷宗复印件。

所有看得见的流程全部合规。库房搬迁遗失属于仓储管理客观事故；硬盘故障属于设备硬件问题；归档分区高级权限需要高管签字，是集团早已成文的管理制度。明规则全部站在对手一边。调查人员处处碰壁，但是抓不到任何人违规操作的实据。

这就是灰色规则的现实玩法。不需要明火执仗销毁证据，利用制度本身的缝隙，就可以把关键材料隔绝在调查视线之外。

秦雪拿起笔，在便签纸上写下两行字。

1、纸质审批单：大部标注库房搬迁遗失，仅可现场阅，禁止复制拍照，只提供手写摘要。

2、线上OA归档记录：需周瑞安签字，审批搁置。

写完之后，她把便签纸折小，收进自己贴身的笔记本夹层，没有留在办公桌桌面。

她现在更加清楚，自己手里缺少能够一锤定音的闭环实锤。就算拿到一些疑点碎片，在董事会层面，也很难撼动周瑞安派系。想要推进审计，不能只指望档案室调阅旧档案。必须开辟别的调查路径。

她点开企业内部通讯录，目光在内审团队人员名单上面慢慢划过。

镜头切回陈氏科技机房。

技术人员继续在时间轴上面做细节校验。把两次登录地点、第三次登录之后覆盖日志的元数据，与公开的项目排班、服务器运维记录逐条比对。

“有一处小细节。”一名技术人员鼠标点在屏幕一处时间节点，“第一条从城铁筹备隔壁写字楼的登录，发生在周末。周末瑞科本部没有人上班，内网机房是关闭外部访问端口的。”

陈默眉头抬起：“周末内网端口关闭，那他是怎么接入瑞科内网的。”

“只有两种可能性。”技术人员说道，“第一，那一段时间，有人在内网防火墙手动放开过临时外部接入白名单。第二，有一台内部机器被木马攻陷，当做跳板，外部账号借跳板穿透进入内网。”

“这两种情况，都需要内部人员配合。”陈默说。

“元数据只能证明接入成功，无法区分究竟是白名单放行，还是木马跳板入侵。”

陈默盯着屏幕时间轴。周末，在外边商用写字楼，接入瑞科内网，四十八小时之后账号登录瑞科物理机房，第三次登录执行日志分区覆盖。整条行为链条，每一环，都指向内部存在配合者。但是，依旧拿不到是谁在配合的直接记录。

陈默再一次核对三份异地冷备份硬盘的写入状态。确认全部数据完整落盘。

他再次编辑报文，把周末登录、内网端口关闭、两种接入可能性全部如实报送。不做主观猜测，只列出客观存在的两种技术可能性。

市一医院病房，苏曼收到报文，读给林泽。

林泽听完，太阳穴的钝痛持续盘旋。他没有开启混沌推演去模拟所有内部人员的嫌疑名单。一旦铺开多层嫌疑人推演，身体代价会直接上升到重度反噬。

“周末内网端口对外关闭。”林泽低声复述，“想要外部账号接入，要么手动加白名单，要么内部主机被当做跳板。两种途径，都离不开瑞科内部人的操作。”

“但是我们没有证据锁定这个人。”苏曼说道。

“只有行为轨迹碎片。”林泽回应，“线索走到这里，又一次卡在废墟一样的损毁数据前面。”

苏曼手机又一次收到来自瑞科外围线人的消息。

报文简短：“周瑞安秘书谈话结束之后，档案管理员下班直接离开瑞科大楼，打车去往一家私人会所。有人给他递过一只牛皮纸文件袋，交接在会所门口路边完成，没有进入会所建筑。”

苏曼把报文内容转述。

林泽听完，闭上眼睛休息一阵。

“材料、或者补偿。”林泽开口，“不管袋子里面是什么，这一场档案室层面的布防已经全部做完。我们指望从瑞科档案室原始档案拿到直接证据，这条路基本已经堵死。”

“那接下来。”苏曼看向林泽。

“两条路并行。”林泽缓缓说道，“第一条，陈默这边，继续深挖镜像备份里面所有残存碎片，不要放过任何可读字节。第二条，把希望降低，不再寄希望瑞科内部档案室吐出原始证据。后续所有的突破点，要往档案室之外去找。”

“第三方测试机构，赵明远的外甥，还有李薇加密文件第二层。”苏曼把几个方向念出来。

“全部都是碎片，没有哪一条已经闭环。”林泽提醒，“每一条线索，都需要两份以上独立来源互相交叉印证。单一来源，不能采信。”

病房监护仪滴滴作响，日光慢慢向西偏移，窗外城市车流喧嚣越来越重。

陈氏科技机房，屏幕上面的时间轴静静展开，三段登录行为标记清晰醒目。城铁筹备隔壁写字楼、瑞科测试机房、日志分区批量覆盖。完整的行为轨迹摆在眼前，但是账号操作者、上传数据包内容，被损毁的数据彻底掩埋。

陈默看着屏幕，内心清楚。他们找到了通道账号存在的证据，证实周瑞安茶馆抛出的时间差并非谎言。可距离完整真相，中间隔着厚厚的人为销毁的数据废墟。每往前多挖一寸，都要踩在规则的灰色地带。

他在内部工作备忘录敲下一行记录：所有操作全程留痕，所有证据多份异地冷备份。自我保护优先级，与追查线索同等重要。

瑞科秦雪办公室。

秦雪拿起内线电话，拨通内审组长。

“档案室这条路已经被对方提前布防，不要继续死磕纸质审批单。”秦雪语调平稳，“调整内审工作重心。不要只盯着档案室调阅材料。分出一部分人手，向外延展排查。三年前风控系统测试阶段，所有外部合作对接单位，全部拉出名单，做外围摸排。”

听筒对面内审组长应声记下新的工作安排。

秦雪放下听筒，目光望向窗外。她很清楚，档案室这条路已经被合规外壳堵死，只能向外围合作单位寻找突破口。但外围摸排，同样会遭遇各种各样的阻碍。

章节末尾钩子：

苏曼平板又收到加密报文，来自陈默机房。

“刚刚扫描损坏扇区，又解析出一小段零散字符串，不完整，疑似某个合作机构名称片段，字符残缺过半，暂时无法识别。”

（本章完）