第50章 交叉证据(3/4)

首发：~第50章 交叉证据

物业抓拍至少在这个角度能看清脸。

那为什么“18:46的那个人”要把自己裹得这么严？

周砚把两组照片对比后，在笔记本上写下两个字：刻意。

刻意遮脸意味着两种可能：他知道自己不该在这个时间出现在这里；或者他知道这里可能有抓拍。

无论哪一种，都不是“正常临时使用会议室”的行为。

视野边缘，蓝色面板亮起，像一道冷光切开雾气：

【交叉证据升级：门禁抓拍证明“刷卡动作对应具体人形”，且遮脸行为具有主观规避特征】

【下一步：用“设备接触证据”锁死——HID设备插入记录是否能追溯到具体硬件资产/USB序列号/领用人】

14:22，周砚把抓拍照片的查看版存入共享盘“合规记录/302追溯/抓拍查看版”，并在留言区写清楚“查看版来源安全部，原始件封存于安全部”。然后，他给安全部负责人回了一个更具体的请求：

“请补充：18:49插入的HID设备是否存在USB设备实例ID/序列号记录（System日志可查）；若存在，请在资产管理系统中检索该设备是否为公司配发硬件或常见外接设备；若无法检索，请提供设备实例ID供进一步追溯。”

他要把“有人插了一个键盘设备”变成“插的是哪一个键盘设备”。一旦设备有实例ID，就能追溯它曾在哪台电脑出现过、曾被谁使用过、甚至曾在哪个工位接入过。这就是技术证据的残酷：它不认口供，只认轨迹。

15:03，运营负责人发来中间复盘数据：二次触达已完成22人，新增确定预约5，总确定预约达到了28，且有3个客户提出“愿意带家人一起来”。

周砚把这条数据同步给王珊，语气简洁：“D4中段新增确定预约5，总28，客户带家人到访意愿上升。18:30前给你更新脱敏名单与时间段分布。”

王珊回：“太好了，领导最喜欢看这个趋势。”

结果线继续向前滚动，这就是他抵抗影子结算的底盘。

15:48，法务专员突然发来一封邮件，语气比上午更硬：“外部投诉线索涉及‘内部数据引流’与‘客户信息处理’两项风险，请周砚于今日17:30到法务会议室配合核查，携带所有相关资料。”

周砚看完，没有情绪。

对方终于把“核查”从邮件推送升级为“当面问询”，目的很明显：用会议把他拖出执行现场，让他在口头对话中被动解释，再从解释里挑漏洞。

周砚没有拒绝。他回复邮件：“17:30可到。请提前明确核查范围与具体线索原文（投诉内容截图/渠道/时间），便于对照核验，避免扩大推定。相关资料将以共享盘归档版本为准。”

他把“线索原文”四个字钉在回复里——没有线索原文，就没有核查范围；没有范围，就容易扩大推定。对方想用模糊吓住他，他偏要把模糊写成具体。

16:11，安全部负责人回消息：“HID设备实例ID已提取，稍后发你。初步看像一种常见USB键盘注入器，但不排除普通键盘。”

周砚的眼神微微一沉。

“键盘注入器”这个词一旦出现，事情的性质就不再是“某人输错密码”那么简单。它意味着有人蓄意设计了自动化触发链路。公司一旦承认这一点，就必须启动真正的安全事件流程，牵涉面会扩大，很多人会不愿意让它发生。

所以他必须小心表达——不让对方抓住“周砚夸大定性”的把柄，同时把证据链推进到无法回避的程度。

他回：“请发实例ID与对应日志截图，我只写‘非授权外接HID设备’，不做性质推断。”

他不给自己挖坑，但也不放过证据。

16:58，安全部发来一份截图与一串长长的设备实例ID。

周砚把实例ID输入资产管理系统的检索框，按回车。

结果弹出：该设备实例ID曾在两台电脑上出现过——一台是302公用电脑，另一台是……市场部媒介主管的笔记本。

媒介主管。

周砚没有立刻把这条结果丢出去，他盯着屏幕足足五秒，脑子里把近几天的“舆情攻击+假截图+媒体号带节奏”这条线与“媒介主管”的角色瞬间串了起来。

这不是巧合的概率已经接近零。

但他仍然不下结论。他按规范截图，记录检索时间、系统页面、设备实例ID、匹配结果，然后把截图归档进“302追溯/设备追溯”目录，留言区写清楚“资产管理系统检索结果截图，待安全部复核”。

他还做了一个动作：把媒介主管上午在群里说“法务要暂停社群资料发放”的那条消息截图，存入“舆情应对/内部协作记录”。他要把“动作”与“证据”并排放在同一条线上，让任何人想说“巧合”都站不住脚。

17:24，周砚起身去法务会议室。

走廊里很安静，安静得能听见自己的鞋底与地面摩擦的细响。他拎着文件袋，封条仍然没拆。对方想让他在口头对话里失控，他就用封条告诉对方：我只认文档，且文档可审计。

法务会议室里坐着三个人：法务专员、HR主管、还有媒介主管。

周砚在门口停了一瞬，心里反而更冷静——媒介主管在这里，就意味着这场所谓的“投诉核查”不是单纯的合规流程，而是一个合围：用“舆情线”压他，用“个人信息线”套他，用“会议问询”拖他。

法务专员开门见山：“我们收到外部投诉线索，说你们项目用内部资料引流，且在社群收集客户信息存在违规。你解释一下。”

周砚没有解释，他先问：“请提供投诉线索原文，包括渠道、时间、内容截图。没有原文无法核对，不适合直接进入问询。”

HR主管皱眉：“这是内部核查，不需要你掌握所有细节。”

“需要。”周砚语气平静，“核查必须有范围与原始线索，否则就会扩大推定。公司要求我承担合规责任，我就必须依据原始线索逐项对照核验。没有原文，我只会提供归档证据，不做口头解释。”

媒介主管轻轻咳了一声，像是在压火：“周砚，你这样配合态度就有问题。我们现在是要快速止损，不是搞流程秀。”

周砚看向他，眼神没有锋芒，只有清晰：“止损的前提是证据。你负责媒介，你应该比我更清楚：没有原始投诉内容，我们做任何声明都可能自相矛盾，引发更大舆情。你要快，就把原文拿出来。”

法务专员沉默了两秒，终于把一张打印纸推过来——投诉截图，来源是某本地房产自媒体的私信，内容是“你们用内部表格引流，截图为证”，附了一张模糊的表格图片。

周砚扫了一眼那张图，几乎立刻确定：这不是共享盘里的任何版本。字体间距、表头命名、颜色方案都不对，像是人为伪造的“看起来像内部资料”的东西。

他没有当场说“这是假的”，他只说：“请允许我按流程核验。现在我提供三份归档证据：资料清单与证据来源说明、隐私告知与明示同意记录、以及共享盘版本库与哈希清单。你们可以对照投诉截图，验证是否与我们任何归档版本一致。”

他从文件袋里取出三份打印件，一份份放在桌面中间，动作稳得像在开审计会：

第一份：《对外资料清单与证据来源说明》——每项资料对应路径与版本号；

第二份：《个人信息处理承诺（修订版）》与执行截图——明示同意的实现方式与CRM字段范围；