清晨七点四十，服务台的玻璃内侧像一条薄薄的河岸，把人群与制度空间隔开。河岸上那张小门牌仍旧安静，字不多，却像把所有不确定都压成一个方向：

**核验点唯一：柜台内侧（玻璃内）**

**交接留痕：登记本编号可查**

**提示单规则：无任何联系方式**

护士长走到柜台边，把登记本抽屉上那把小钥匙转了半圈，确认锁舌咬合。她没说话，只把“抽屉取用、双人取用”的动作做得像呼吸一样自然。她知道今天的风险点已经从“样子”转向“工具”：编号校验工具、硬件密钥、白名单终端、内网权限。越是工具化的东西，越容易被伪装成“维护”。

信息科会议室里，周工盯着一张新的告警截图，眉头压得很低。告警不是来自外网钓鱼，也不是来自电话上量，而是来自内网终端白名单的“硬件密钥握手失败”日志：

*071218――白名单终端尝试调用硬件密钥

*071219――硬件密钥握手失败（未知设备指纹）

*071220――触发本地锁定（需双人解锁）

*071222――终端自动断开校验入口

“有人碰了钥匙。”罗工的声音很轻，轻到像在确认一个物理事实。

纪检联络员翻开行动单，新页眉写得干干净净：**硬钥匙**。她在下面写下第一条结论：

**当编号不再能撬门，对手会转向钥匙本身。**

护士长抬头：“硬件密钥不是放在保险柜里吗？”

罗工点头：“放在柜里。但调用发生在白名单终端上。有人可能没有拿走钥匙，只是在终端附近做了‘替换’或‘插入’动作。”

周工把目光从屏幕挪到窗外：“这不是远程钓鱼，这是近距离动作。近距离动作的伪装，通常只有一种――维护。”

纪检联络员没有提高音量，只把笔尖在行动单上点了一下：

**维护一律门牌化：工单编号、派工单编号、双人陪同、全程固证。**

系统提示在林昼视野边缘亮起：

态势：攻击从编号转向硬件密钥与白名单终端

**险：伪装“系统维护密钥更换终端升级”关键：维护门牌化（工单派工双人固证）

林昼站在走廊里，忽然想到父亲说过的“换锁”。编号是门号，核验是门，钥匙就是锁芯。锁芯一旦被摸到，所有门牌都可能失去意义。今天要做的，是把锁芯也变成门牌――让每一次触碰都必须留痕。

---

###1）第一名“维修员”出现：他带着箱子，比白大褂更像真的

八点二十五，服务台旁的侧门通道出现一个男人，背着工具包，手里提着一个塑料箱。箱子上贴着打印标签：“安全密钥更换套件”。他没有靠近队伍，也没有对家属说话，只径直走向服务台内侧通道入口，像走一条很熟的路。

保安按新节拍走近，先问一句很标准的话：“请出示工单和工牌，登记后进入。”

男人笑了笑，语气很自然：“信息科叫我来的，密钥快到期，要更换。耽误的话系统会停。”

“停”字一出，就像有人在空气里按了一下按钮。很多人会本能紧张，因为“停”意味着麻烦，意味着队伍更慢，意味着投诉更多。

但保安没被“停”带走，他只重复流程：“请出示工单编号，到柜台内侧登记核验。”

男人把一张纸掏出来，纸上确实有一个编号。编号看起来也像内部工单的格式：两段字母加日期位。男人抬抬下巴：“你看，工单在这。”

保安没有接纸，只指向服务台玻璃内侧：“请到柜台内侧核验工单编号并登记。”

男人眉头轻微动了一下：“我赶时间。”

保安仍旧短：“登记后再进。”

这就是门牌逻辑：不管你多急，你都得先过门。急是对方的节奏，登记是我们的节拍。

护士长听见动静走来，没有插话，只站在服务台侧边。服务台人员打开编号校验工具，输入那串工单号，结果弹出两个字：

**不存在**

服务台人员抬头，只说一句：“系统查不到工单。”

男人笑容僵了一瞬，马上补一句：“可能还没同步，我这边是外包系统――”

纪检联络员正好走到服务台，声音不高，只有动作：“外包工单无效。请联系信息科走正式派工流程。”

男人把箱子往后提了提，像准备撤离。他撤离的动作很干净：不争辩、不纠缠、不解释，转身就走，像早就知道“工单核验”是撤退触发器。

可他走到门口时，保安已经按流程拍照固证：工具箱标签、工单纸张、工牌样式、撤离方向。照片不会抓住他，但会抓住“样子”。样子一旦被抓住，下次换皮就更难。

“他不是来维修的。”护士长说得很平，“他是来摸门的。”

周工点头：“摸门不成，就会摸锁芯。”

纪检联络员把这起事件写进行动单：**伪维护携“密钥更换套件”试图进入内侧通道，工单核验失败撤离**。并在后面补一条：

**从今天起，任何涉及密钥与白名单终端的维护，必须提前一天在系统内生成工单，且需双人到场确认。**

提前一天意味着时间缓冲。骗子最喜欢“现在立刻”，因为立刻能压缩核验。提前一天把核验拉长，立刻就失效。

---

###2）握手失败的真相：他们没拿到钥匙，只碰了接口

九点半，罗工带着服务台终端去做现场取证。白名单终端的usb口附近有非常轻微的划痕，像被反复插拔过。划痕不明显，但在斜光下能看出来。终端背面还有一条新的扎带――不是医院常用的那种颜色。

“有人动过线。”罗工说，“不是直接拿走钥匙，是试图插入一个中间设备，做‘拦截’或‘替换’。”

周工皱眉：“像那种把硬件密钥通信转接出来的东西？”

罗工点头：“可能是。握手失败说明对方设备指纹不匹配，白名单终端拒绝了。但他们来过。”

纪检联络员看着那条扎带，声音冷静：“这就是为什么我们要双人取用登记本。人不会记得每一条线，但流程会逼你去看。”

她立即更新物理层门牌：

*白名单终端接口加封条，每班交接检查封条完整性；

*终端周边摄像头视角校准，确保usb区域可见；

*任何线路与扎带更换必须登记编号；

*白名单终端只允许两名指定人员操作，且操作必须在服务台可视范围内进行。

“我们把硬件也编号化。”周工说。

“对。”纪检联络员点头，“编号不是为了管理方便，是为了让触碰变得有代价。”

---

###3）他们的第二招：远程“客服”来电，要求你帮他插一下

上午十点五十，服务台电话响起。来电人自称“信息科外包客服”，说昨天系统升级导致硬件密钥锁定，需要现场人员“按提示重插一次”，并指导对方打开某个网页查看步骤。

服务台人员刚要问网页地址，护士长就把电话接过来，只说一句：“电话不做维护。”

对方急了：“不做会影响核验窗口，督导也在――”

护士长截断：“维护只认工单与派工单编号，柜台内侧登记。”

对方沉默两秒，换成哄的语气：“我给你报工单号，你把终端插一下就行――”

护士长第二句：“电话不查编号。”

对方开始压：“你们这么死板，会出事故――”

护士长第三句：“请走正式流程。”

三句之后挂断。没有争辩，也没有解释。电话里最危险的不是他报不报编号，而是他让你点链接、让你打开网页、让你跟着步骤走。步骤一旦开始，人就会不自觉地完成对方想要的动作。

纪检联络员听完录音骨架，只说：“他们在偷‘维护权’。”