第50章 交叉证据(8/12)

渠道/时间），便于对照核验，避免扩大推定。相关资料将以共享盘归档版本为准。”
他把“线索原文”四个字钉在回复里——没有线索原文，就没有核查范围；没有范围，就容易扩大推定。对方想用模糊吓住他，他偏要把模糊写成具体。
16:11，安全部负责人回消息：“HID设备实例ID已提取，稍后发你。初步看像一种常见USB键盘注入器，但不排除普通键盘。”
周砚的眼神微微一沉。
“键盘注入器”这个词一旦出现，事情的性质就不再是“某人输错密码”那么简单。它意味着有人蓄意设计了自动化触发链路。公司一旦承认这一点，就必须启动真正的安全事件流程，牵涉面会扩大，很多人会不愿意让它发生。
所以他必须小心表达——不让对方抓住“周砚夸大定性”的把柄，同时把证据链推进到无法回避的程度。
他回：“请发实例ID与对应日志截图，我只写‘非授权外接HID设备’，不做性质推断。”
他不给自己挖坑，但也不放过证据。
16:58，安全部发来一份截图与一串长长的设备实例ID。
周砚把实例ID输入资产管理系统的检索框，按回车。
结果弹出：该设备实例ID曾在两台电脑上出现过——一台是302公用电脑，另一台是……市场部媒介主管的笔记本。
媒介主管。
周砚没有立刻把这条结果丢出去，他盯着屏幕足足五秒，脑子里把近几天的“舆情攻击+假截图+媒体号带节奏”这条线与“媒介主管”的角色瞬间串了起来。
这不是巧合的概率已经接近零。
但他仍然不下结论。他按规范截图，记录检索时间、系统页面、设备实例ID、匹配结果，然后把截图归档进“302追溯/设备追溯”目录，留言区写清楚“资产管理系统检索结果截图，待安全部复核”。
他还做了一个动作：把媒介主管上午在群里说“法务要暂停社群资料发放”的那条消息截图，存入“舆情应对/内部协作记录”。他要把“动作”与“证据”并排放在同一条线上，让任何人想说“巧合”都站不住脚。
17:24，周砚起身去法务会议室。
走廊里很安静，安静得能听见自己的鞋底与地面摩擦的细响。他拎着文件袋，封条仍然没拆。对方想让他在口头对话里失控，他就用封条告诉对方：我只认文档，且文档可审计。
法务会议室里坐着三个人：法务专员、HR主管、还有媒介