牌：比口供更硬的“谁在控制”
上午七点四十，平台侧保全包的第一批细化数据送到。里面最关键的不是登录IP，也不是昵称，而是一串串会话令牌的生命周期记录：谁发起会话、会话持续多久、在哪个权限动作之前刷新、在哪次二次验证之后重签。
罗工把会话令牌放到图里，像把血管画在骨架上。九分钟窗口里，控制账号会先刷新令牌，再开批量邀请权限，再触发表单字段变更，然后关闭权限。动作路径极稳定，稳定到像在背某种流程。
“这不是临时操作。”罗工说，“是标准作业。标准作业意味着有人训练，有人要求，有人检查。”
周工点头：“检查的人就是发令机骨架。”
纪检联络员把视线落在那串会话令牌的一个共性上：每一次关键动作前，令牌的刷新时间与一个外部事件高度同步——同一写字楼的网络出口出现短时峰值。峰值持续八到十分钟，与九分钟窗口几乎重叠。
“近场控制。”她说。
罗工补充：“而且峰值发生在夜间语音房潮汐前后。说明控制者在‘开潮’前做准备，在‘退潮’后做收尾。”
护士长听到“开潮”，忽然想到病区里那些最容易在夜里焦虑的人。对方选夜里，是因为夜里人最脆弱。现在他们把夜里变成证据，等于把脆弱也回收了。
纪检联络员指了指屏幕：“把‘峰值网络出口’和文化传播工作室所在楼的出入记录对齐。不要去问谁，先让数据说话。”
周工立刻明白她的意思：拎影子最怕的就是“主观判断”。你越觉得像谁，就越容易误判。数据对齐才是唯一的锚点。
---
###2）门禁与宽带：影子总要经过门
上午九点，线下组传来两组信息：写字楼门禁在过去一周内的夜间刷卡记录，以及该楼层宽带的设备接入记录。门禁记录显示，在九分钟窗口前后，总会有一个卡号在楼层入口出现，刷卡时间与后台权限动作的起止高度贴合。宽带接入记录显示，在同一时间段内，会有一台设备反复连入同一Wi-Fi，设备标识与平台侧会话令牌刷新时的设备指纹摘要存在弱匹配。
弱匹配不能直接指向一个人，但能指向一个“实体节点”：同一张门禁卡、同一台设备、同一个网络出口、同一套九分钟流程。
“影子开始有重量了。”周工说。
纪检联络员没有接“重量”这两个字，她更关注“可归责”：“把门禁卡号作为节点A，设备标识作为节点B
本章未完，请点击下一页继续阅读！