第50章 交叉证据(2/4)

首发：~第50章 交叉证据

周砚把这条时间线打印出来，红笔圈住“18:49”和“18:50”两个点，在旁边写了四个字：必须落锤。

可落锤需要“人”的对应关系。日志告诉你发生了什么，门禁告诉你谁进出，下一步就是把“动作”落到“人”。

他要的不是“怀疑王XX”，他要的是“证明王XX是否是唯一可能实施该动作的人”，或者“证明王XX的卡被他人使用”，从而逼出真正的操作者。

09:02，周砚起身去茶水间倒水。

路过行政区时，他看见行政部的孙XX正站在打印机旁整理纸张，动作熟练。孙XX就是门禁明细里19:02和19:08两次刷卡进入的人。周砚没有停，也没有盯着看，只把这个画面记在脑子里：孙XX今天来得也很早。

回到工位，他给物业安保主管发了一封邮件——物业邮箱在公司通讯录里，平时只用于访客管理与消防演练。但现在，他需要物业系统的一个细节：门禁刷卡是否有联动抓拍。

邮件主题写得很克制：《门禁刷卡联动抓拍留存状态咨询（302会议室门禁）》。

正文只问两句：

“1）302会议室门禁刷卡是否联动抓拍照片或短视频（含抓拍设备型号与留存周期）；

2）若有抓拍留存，能否按公司内部调查流程提供涉事时段（18:40—19:10）刷卡抓拍记录，供核验。”

他没有说“谁干的”，没有说“攻击”，只说“核验”。同时抄送梁总和信息安全部负责人。

这是他惯用的手法：把请求从“个人追查”升格为“公司调查”，让任何阻挠都显得不合规。

09:28，物业回复很快，字里行间明显谨慎：“门禁系统具备联动抓拍功能，但抓拍设备位于门侧上方，清晰度受角度影响。资料提供需走公司安全部正式函件流程。”

周砚没有嫌麻烦。他把邮件转发给信息安全部负责人，附言只有一句：“请以安全部名义向物业出具正式函件调取门禁抓拍，涉事时段18:40—19:10。”

他知道对方可能会拖，但他也知道：梁总在开放日后强调“核查不得扩大解释”，同时又要求“原始线索与范围明确”。现在他给的就是明确的范围、明确的证据链、明确的调取路径。

10:03，运营负责人按要求发来第一小时汇总：二次触达完成9人，新增确定预约2，关键顾虑集中在“通勤浮动”和“月供区间”。

周砚回：“按Q&A卡片回应，强调区间+来源+实测证据。下午14:00加一次短答疑，控制在8分钟内，不增新口径。”

他把项目执行继续往前推，像把车轮死死压在轨道上，不给任何“暂停”的理由。

10:26，阿远终于出现了。

他不是来吵架的，而是带着一种刻意的“组织关怀”姿态走到周砚工位旁，声音压得很低：“你最近太紧绷了。开放日结束，接下来该把风险收一收。法务那边已经收到投诉线索，我建议你这两天把所有导出动作先停掉，避免再给人抓把柄。”

周砚没有抬头看他，手指仍在键盘上敲着日报表格，语气平淡：“导出只发生过一次脱敏导出，审批链路与日志都在。停掉导出会影响现场接待与预约转化，你要停，请走书面流程，写明影响与责任归属。”

阿远脸上的肌肉抽了一下，笑意更薄：“你总拿责任归属说事，做事不是这样做的。组织是要协同的。”

“协同的前提是规则明确。”周砚终于抬眼，眼神没有锋芒，只有清晰，“你要协同，就把你的建议写成可审计的动作项。否则都是口头话。”

阿远沉默了两秒，像是强压怒意，转身走了。

他走得很快，像怕自己再多停一秒就会失控。

周砚看着他的背影，心里更确定了一件事：对方开始急于让他“停”。因为他已经拿到了能落锤的链条。

11:17，信息安全部负责人发来消息：“门禁抓拍调取需要梁总签字的正式函件。我这边在起草。”

周砚回：“函件内容请写明：用于核验302公用电脑异常操作链路，与项目交付风险评估直接相关，范围限定18:40—19:10，资料仅用于内部调查并按合规归档。”

他把每一个字都写细，不给对方后续“范围太大”“目的不明”的借口。

11:46，梁总把函件签了，发在一个小范围群里：信息安全部负责人、法务专员、周砚。

梁总附了一句：“今天把抓拍拿回来，别拖。”

周砚没有回复多余的话，只发了一个“收到”，然后截图归档。梁总的态度清晰——他不喜欢内部扯皮，也不喜欢项目节奏被拖，更不喜欢有人拿合规当工具做权力游戏。只要周砚把风险与证据写得足够硬，梁总就会站在“结果”那一边。

12:38，午休时间。

周砚没有去吃饭，他把上午的日志链路梳理补成一份更完整的“交叉证据矩阵”，一张表里横向是证据源（门禁、监控、系统日志、会话日志、审批邮件、威胁短信/IM），纵向是关键时间点（18:46、18:47、18:49、18:50、19:01）。每个交叉格子里写“有/无/缺失/待调取”。

这张矩阵不是给自己看的，是给任何一个想“模糊焦点”的人看的——你想说无法确认？你先解释为什么这些格子会在同一段时间里形成如此密集的异常。

13:20，物业安保主管来电。

对方声音很谨慎：“我们按函件范围调取了302门禁抓拍，照片有，但角度偏，清晰度一般。现在安全部的人可以来取。”

周砚把电话开免提，直接对信息安全部负责人说：“你们去取，我不经手原始件。取回来后请按流程归档，我只需要在合规室查看并做记录。”

他从一开始就把自己从“直接接触原始证据”的动作里摘出去——不是怕麻烦，而是避免对方说他“篡改”“选择性呈现”。他只在合规室查看，只做记录，全程留痕，任何人要质疑，就去质疑流程，而不是质疑他。

14:05，安全部负责人把抓拍照片发来了一份“查看版”，并说明原始件已封存。

周砚打开第一张照片，呼吸没有变化，但指尖却在那一瞬间收紧。

照片里，刷卡进入的人戴着帽子，口罩拉得很高，遮住了大半张脸。但有两个细节极其清晰：一是手腕上的表带颜色，二是外套袖口的反光条纹。

周砚不是靠脸认人，他靠细节。

他把照片放大，对比门禁明细上“18:46王XX刷卡进入”的时间点，再把视线移到照片角落的时间戳：18:46:17。

时间对上了。

然后，他打开第二张照片——18:49刷卡离开。画面里还是同一个人，帽子口罩没变，手腕表带没变，外套条纹没变。

这意味着：至少在门禁系统层面，“王XX的卡”确实被用于进出，而且门口抓拍的人与门禁记录绑定。

问题来了：这个人是不是王XX本人？

周砚脑子里闪过昨天门禁明细里的另一个点：19:02与19:08，孙XX两次进出。

抓拍照片里，19:02进入的那个人没有戴帽子，脸清晰，是孙XX本人。