老夫子盯着屏幕上那条打印记录,手指在桌边敲了一下。b区三层打印机,账号0874,时间是凌晨一点四十三分。他没动,也没说话,只是把这条信息拖进了金手指系统的分析框。
系统开始自动关联数据。几分钟后,一份员工档案跳了出来——跨部门人员乙,市场部临时支援岗,入职三个月,背景清白,无违规记录。表面上看,这人和普通员工没什么两样。
但老夫子知道,越是看起来正常的,越要小心。
他调出最近七十二小时的权限访问日志。发现这个乙在过去两天里,连续三次申请查看客户数据库的权限变更记录,理由分别是“用户行为建模”、“项目复盘资料整理”和“配合技术部做流程优化”。每次都能通过审批,因为申请内容听起来都合理。
可问题就出在这儿。正常人查用户行为,应该关注点击路径、停留时间、转化率这些指标。但他偏偏只盯着权限变动看。谁开了权限,谁关了权限,什么时候改的,改了几次。
这不是分析,是踩点。
老夫子继续往下查。金手指很快标记出一笔异常资金流:三天前,一个私人账户收到五百块转账,来源是一家影视剪辑兼职平台。金额不大,像是零花钱。但系统比对发现,收款人的设备曾在同一天连接过星辰科技子公司办公区的wi-Fi热点,信号持续了四十七分钟。
巧合太多,就不叫巧合了。
他正准备进一步追踪通讯记录,手机响了。是大番薯发来的消息。
“哥,我在b区核对台账,这边有个同事一直在改表格,我看不懂。”
后面附了一张照片。文件名是《权限迁移预案V2》,里面有一行指令写着“跳转至备用接口_无需审批”。大番薯还在下面留言:“这个是不是漏填了审批人?我看前面几版都有写。”
老夫子盯着那句话看了三秒,回了个字:“别问。”
然后他起身走到主控台前,打开内部任务调度系统,找到大番薯的名字,给他加了一个新任务:协助市场部完成跨部门协作流程的数据校验,优先级设为最高。
他知道大番薯虽然脑子慢半拍,但做事认真,而且没人会防着他。让他跟乙一起干活,既能近距离观察,又不会引起怀疑。
安排完,他坐回位置,重新看向屏幕。现在两条线索都指向同一个方向——有人要在明天的维护窗口动手。
问题是,这个人到底是在传递情报,还是准备亲自下场?
他决定试一试。
在系统后台,他新建了一个虚拟环境,完全复制续约模块的功能逻辑,命名为“客户管理测试实例_仅供内部调试”。这个环境对外显示为“正在维护”,但实际上独立运行,所有操作都会被完整记录。
接着,他悄悄把乙的权限从真实系统切换到了这个影子系统。只要对方尝试修改配置或导出数据,动作就会被实时捕捉,而真正的业务不会受影响。
做完这些,他又改了通知。原定九点半的维护推迟到九点四十分,只让技术团队的几个核心成员知晓,其他人包括行政和市场部,看到的还是旧时间。
如果乙真是内鬼,接下来他会怎么做?
是继续按原来的计划行动?
还是突然改变节奏,暴露自己已经掌握了内部消息?
这才是真正的测试。
老夫子靠在椅子上,等结果。
天亮后,大番薯准时打卡上班。他手里拎着两个包子,一边走一边啃,腮帮子鼓得像仓鼠。到了b区工位,发现乙已经在了,正低头敲键盘。
“哎,你这么早?”大番薯把另一个包子塞过去,“给你带的,韭菜鸡蛋馅。”
乙抬头笑了笑:“谢了。”接过包子,放在桌上没吃。
大番薯坐下,打开电脑,开始核对台账。两人分工,一个念数据,一个录系统。干了半小时,一切正常。
直到十分钟后,乙忽然说:“我这边有个补充文档要更新,你先忙你的,我弄完再找你对接。”
说完打开了那份《权限迁移预案V2》。
大番薯瞄了一眼,发现他又在往里面加一行新指令,内容还是“跳转至备用接口_无需审批”。
他心里嘀咕,怎么又来这一条?上次不是说了有问题吗?
但他没吱声,偷偷掏出手机,对着屏幕拍了张照,发给老夫子。
老夫子正在主控室喝豆浆,手机一震,点开图片看了一眼,嘴角动了动。
来了。
他立刻调出影子系统的监控面板。五分钟后,系统提示:账号0874尝试执行高风险指令,目标接口为“客户认证绕行通道”,操作已被自动记录并拦截。
与此同时,境外邮箱监听程序也发出警报——一封加密邮件刚刚发出,内容只有两句话:
“系统维护时间可能延迟,具体待确认。”
“最新预案已更新,按计划推进。”
收件地址经过跳转,最终指向一个注册于海外的匿名账户。
老夫子看完,把豆浆杯捏扁,扔进垃圾桶。
证据齐了。
但他还是没动。
现在抓人,只能揪出一个小角色。可要是放着不动,对方很可能会联系上线,甚至引出更多人。
他要做的是连根拔起。
于是他在系统里下了三条指令:
第一,继续保持影子环境开放,允许乙继续操作,所有行为自动归档;
第二,将延迟维护的消息逐步扩散到其他部门,观察乙是否会再次传递更新后的情报;
第三,安排安保组暗中调取b区三层打印机的使用记录,确认是否还有纸质文件流出。
做完这些,他给大番薯回了条消息:“今天辛苦了,回去休息吧,剩下的交给我。”
大番薯松了口气,合上电脑就走。路过茶水间时还顺手拿了瓶冰红茶,边走边喝。
老夫子则一直坐在主控室,屏幕上分成了三块:左边是乙的操作日志,中间是影子系统的响应记录,右边是境外邮箱的通信监控。
时间慢慢走到上午十一点二十三分。
系统突然弹出一条新提示:
【账号0874登录行政公用终端】
【正在上传文件至云盘共享链接】
【文件名:紧急调整说明_仅限内部传阅】
老夫子点开详情,发现里面详细写了维护时间变更的情况,并特别强调“技术团队已调整防御策略,请各方注意配合”。
这不是普通的汇报。
这是预警。
他立刻追踪链接访问记录。不到两分钟,该链接被从境外Ip打开,停留时间三十一秒,随后删除。
他盯着那个Ip地址,手指在桌面上轻轻敲了一下。
鱼饵吃了第二口。
现在他可以确定,乙不是单独行动。背后有人在指挥,而且就在外面等着消息。
他没有封锁链接,也没有切断上传通道。
反而让系统保留记录,继续运行。
他知道,真正的对手还没露脸。
而他自己,已经布好了局。
只要对方敢再往前一步,门就会关上。
他端起杯子喝了口凉水,目光落在屏幕右下角的时间上。
十一点二十六分。
下一秒,监控界面跳出一条新动态:
【影子系统触发二级警报】
【检测到批量导出请求】
【目标数据包包含模拟客户凭证及权限密钥】
【操作者:账号0874】
【正在执行……】