备实例ID供进一步追溯。”
他要把“有人插了一个键盘设备”变成“插的是哪一个键盘设备”。一旦设备有实例ID，就能追溯它曾在哪台电脑出现过、曾被谁使用过、甚至曾在哪个工位接入过。这就是技术证据的残酷：它不认口供，只认轨迹。
15:03，运营负责人发来中间复盘数据：二次触达已完成22人，新增确定预约5，总确定预约达到了28，且有3个客户提出“愿意带家人一起来”。
周砚把这条数据同步给王珊，语气简洁：“D4中段新增确定预约5，总28，客户带家人到访意愿上升。18:30前给你更新脱敏名单与时间段分布。”
王珊回：“太好了，领导最喜欢看这个趋势。”
结果线继续向前滚动，这就是他抵抗影子结算的底盘。
15:48，法务专员突然发来一封邮件，语气比上午更硬：“外部投诉线索涉及‘内部数据引流’与‘客户信息处理’两项风险，请周砚于今日17:30到法务会议室配合核查，携带所有相关资料。”
周砚看完，没有情绪。
对方终于把“核查”从邮件推送升级为“当面问询”，目的很明显：用会议把他拖出执行现场，让他在口头对话中被动解释，再从解释里挑漏洞。
周砚没有拒绝。他回复邮件：“17:30可到。请提前明确核查范围与具体线索原文（投诉内容截图/渠道/时间），便于对照核验，避免扩大推定。相关资料将以共享盘归档版本为准。”
他把“线索原文”四个字钉在回复里——没有线索原文，就没有核查范围；没有范围，就容易扩大推定。对方想用模糊吓住他，他偏要把模糊写成具体。
16:11，安全部负责人回消息：“HID设备实例ID已提取，稍后发你。初步看像一种常见USB键盘注入器，但不排除普通键盘。”
周砚的眼神微微一沉。
“键盘注入器”这个词一旦出现，事情的性质就不再是“某人输错密码”那么简单。它意味着有人蓄意设计了自动化触发链路。公司一旦承认这一点，就必须启动真正的安全事件流程，牵涉面会扩大，很多人会不愿意让它发生。
所以他必须小心表达——不让对方抓住“周砚夸大定性”的把柄，同时把证据
本章未完，请点击下一页继续阅读！