上午九点，追踪组分两线展开。
周屿带线下组查“程复”现实轨迹。林岚与陆沉舟留在馆内查“程复账号”数字轨迹。韩齐被隔离后仍作为技术顾问远程协助，不接触核心密钥。
第一条线很快有了结果：程复三个月前确实调离，但不是正常调岗，而是“长期病休”。他本人现在住在城北康复中心，近两个月几乎没离开过病房。
“病休的人，凌晨两点登录旧链？”周屿在耳机里说，“要么账号被盗，要么有人代操。”
第二条线更诡异。林岚把程复账号近十次登录拆出来，发现登录IP每次都不同，但设备指纹几乎一致：同一套浏览器内核、同一分辨率、同一字体渲染偏差。
“同一人，同一设备，伪装多IP。”陆沉舟说。
林岚点头：“而且他每次都只干一件事：发‘兼容补丁工单’。”
这些工单看起来无害，标题全是“老库适配”“历史链回归测试”“证书兼容校验”，但每一单都会触发一个短时高权限窗口，足够完成借壳登录与外发。
“这是‘流程型后门’。”韩齐在远程里说，“不是黑进来，是按流程‘走进来’。”
中午十二点，线下组传来新消息：程复本人愿意配合问询。
周屿、陆沉舟赶到康复中心时，程复坐在轮椅上，面色蜡黄，右手轻微抖动。他看见周屿的第一句话是：
“你们终于来了，我等这个问询很久了。”
周屿皱眉：“什么意思？”
程复苦笑：“我三个月前就上报过账号异常登录，工单被驳回，理由是‘你账号已冻结，不存在异常’。可我每天都收到登录提醒。”
陆沉舟问：“提醒还在吗？”
“都在。”程复把旧手机递过去，短信箱里满是凌晨时段的二次验证通知，最近一条就在昨晚2：13。
“你有没有把验证码告诉过别人？”周屿问。
“没有。我都没法输入，手抖。”
程复抬起右手，手指抖得厉害，确实难以完成精确输入。
那验证码是谁用的？
陆沉舟翻短信细节，发现一个怪点：验证码通知里有一条“语音播报已送达”记录，而程复从没接过语音电话。
“语音播报送到哪了？”他问。
程复一愣：“我也不知道。”
回馆后，韩齐顺着“语音播报”链路追溯，锁定到一个内部语音网关。网关配置里有个历史转接规则：
“当主号码未接，转接至备份坐席。”
备份坐席字段填的是一串老分机号：7-042
陆沉舟看到这个号，心里一沉。042，又是那个熟悉数字。
林岚立刻调取老分机归属。结果显示：
7-042属于“旧档案值班室”，该值班室五年前停用，分机理论上已拆除。
“理论上。”周屿冷笑，“我们最近听这个词听够了。”
下午四点，维持组在老办公楼地下一层找到那间停用值班室。门锁坏着，屋里落灰很厚，像多年没人来。可电话机是新的，线路也是新的，桌上还摆着一台迷你短信转码器。
转码器日志里清楚记录着：
“接收验证码-＞语音播报-＞自动输入脚本。”
也就是说，所谓“程复登录”，实际上是有人劫持了他的二次验证通道，借壳登录旧链。
“这人非常熟流程。”韩齐在耳机里说，“知道冻结账号仍可触发验证，知道老分机没拆，知道哪条语音网关还开着。”
周屿看着屋里那台电话机，低声道：
“这不是外部黑客，这是在我们制度缝里长出来的人。”
现场勘查结束时，陆沉舟在桌角发现一张折过的便签，便签上写着一行字：
“2：14只是预热，真正窗口在‘双黄灯’。”
“双黄灯是什么？”周屿问。
韩齐听完沉默了几秒，声音发紧：
“双黄灯是我们内部术语，指主副终端同时进入‘半冻结半活化’的过渡态。下一次双黄灯窗口，大概在……48小时后。”
作战室立刻进入红色预警。他们原以为自己在追一个账号，现在才明白对手在看他们的操作节奏，并且提前给出“下一击预告”。
林岚把便签拍照归档，标题写成：
“内鬼线第一次实锤：借壳登录链已确认。”
她又补了一行：
“内鬼身份未明，但具备内部术语、流程和线下布设能力。”
周屿看向陆沉舟：“你还想继续做外部引导稿吗？”
陆沉舟点头：“要做，而且要升级。他们想把窗口做成流量事件，我们就先把窗口变成‘无人事件’。”
周屿难得笑了下，虽然很短：
“行，那你负责把人劝走，我负责把门守住。”
----------------------------------------
