10:30，二次触达开始。
运营区的同事按话术逐个私信候补名单，要求对方回复“时间段+户型偏好”，并提示“资料现场按清单发放，进群可预约”。周砚盯着不是回复，而是“异常账号特征”：新号、无头像、入群时间极短、发言带挑衅关键词。
果然，十分钟后，群里出现一个新账号，头像是空白，名字像随机生成的字母，发了一句：“你们不敢发全资料，是不是怕露馅？”
运营按置顶口径回复：“资料清单与证据路径已置顶，欢迎按路径核验。不讨论未经核验截图与传言。需要资料请按预约流程，现场可核验。”
对方又发：“我就要你们内部底稿，不给我就发媒体。”
异常处置位直接禁言24小时，备注“疑似诱导违规索取资料”，并截图归档。整个过程不到一分钟，群里情绪没有被带起来。
周砚在D5动作清单上打了一个勾——“控群先控节奏”继续有效。
11:08，信息安全负责人再次来信，附件终于给了302公用电脑的本地事件日志摘要。
周砚打开那份日志时，手指不自觉收紧了一下。
日志显示：18:46:21，设备从休眠唤醒；18:46:38，键盘输入事件；18:47:05，系统弹出登录界面；18:47:12，某浏览器被打开；18:48:03，浏览器访问了公司统一登录页面；18:49:10，设备再次进入待机；19:01:07，出现三次失败登录尝试；19:03:12，触发安全策略记录。
最关键的一行在最后：19:00:58，有一个计划任务被触发，任务名为“UpdateCheck”，执行内容为“启动浏览器并打开统一登录页面”。
计划任务。
这意味着19:01那三次失败登录并非“现场有人恰好尝试”，而更像“预置后自动触发”。有人在18:46到18:49之间唤醒电脑、打开登录页、设置了某种触发机制，然后离开。到了19:00以后，任务自动触发，系统记录登录失败，账号进入保护模式。
门禁记录里，18:46进入302的人，叫王XX。
阿远的助理。
证据链在这一刻第一次变得像钢筋一样硬：门禁时间点+监控缺口起点+电脑唤醒事件+计划任务触发+失败登录时间。
周砚没有立刻冲出去质问。他知道一旦情绪化，他就会被带进“你怀疑同事”的泥潭。正确做法是把这条链条变成“必须由安全部出结论”的事实，而不是“周砚的推测”。
他给安全部负责人回邮件，措辞只写事实请求：
“请确认‘UpdateCheck’计划任务的创建时间、创建账号、最后修改账号，并提供任务配置详情（触发条件、执行参数）。该项为判断19:01失败登录是否为自动触发的关键证据。另，请结合门禁记录（18:46入内人员）进行交叉验证。”
发完他立刻抄送梁总、法务，并在邮件里加一句：“该证据直接关系项目事故定性与责任归属，请安全部于今日18:00前形成补充结论说明。”
他把“18:00前”写得很清楚——让拖延变成不可接受的选项。
12:03，梁总把周砚叫进小会议室。
房间里只有两个人，灯光偏暗，梁总的声音压得很低：“计划任务这条你看到了？”
“看到了。”周砚把要点说得极简，“门禁18:46、电脑唤醒18:46、监控缺口18:47起、助理18:46进入，计划任务19:00触发导致19:01失败登录。链条完整，但需要安全部给‘任务创建账号’的证据，避免变成推测。”
梁总点点头，眼神冷得像刀：“我会让安全部把账号打出来。你别去碰王XX，别跟阿远冲突。开放日一旦乱，你我都得背锅。把现场跑稳。”
周砚没争执，只问一句：“王XX能不能出现在开放日现场？”
梁总沉默两秒：“我会处理人员安排。你只管流程。”
这句话等于默认：梁总已经把“内鬼”与“现场风险”挂钩。周砚明白，梁总的“处理”不会是戏剧化的开除，而更可能是“临时隔离、限制接触、保留证据”。在这家公司，处理必须合规，否则处理本身会变成新的风险。
13:40，开放日现场物料到了。
禁拍区提示牌被设计成很醒目的红黑色，字不夸张却足够强硬：“此区域涉及个人信息与内部资料，禁止拍摄/录音/直播。拍摄请至指定区域并实名登记。”旁边还有一个二维码，扫码会弹出《拍摄合规提示与登记表》。
周砚让行政把提示牌固定在入口与资料发放桌旁，固定点位拍照留痕，照片按“点位-时间-安装人”命名归档。每一块牌子都像一枚钉子，钉在未来可能发生的争议上：你拍了，不是我们没提醒，是你违规。
14:00，现场再次演练，这一次加了“十分钟集中说明”的模拟。
周砚站在背板前，背板上只有三行字：通勤、月供、对比。没有夸张口号，没有“最”“第一”“必买”。他按讲稿讲，语速稳定，语气像在做报告：
“我们今天只讲三件硬事：通勤怎么核验、月供怎么核验、竞品怎么核验。所有数字都用区间呈现，并告诉你来源与证据路径。你现场核验清楚再决定，不被一句话带走。”
讲到“核验路径”时，他停顿半秒，指向“核验指南一页纸”：
“你不需要相信我，你只需要按这张纸的三步去核验。核验完你得出的结论，才是你自己的结论。”
这句话是他刻意准备的。对手想把现场变成“营销话术”，他就把现场变成“核验流程”。核验流程一旦成立，攻击就会变得无力。
演练结束后，周砚要求所有岗位把“今日演练问题清单”再次更新，新增一条“计划任务引发账号保护的追溯进展不对外讨论，统一回复：内部合规核查中，不影响项目资料核验与开放日流程”。
他不让任何人把内部追溯说成八卦。八卦是最容易泄露口径的裂缝。
16:18，运营汇报：确定预约从21条涨到26条，其中18条已确认具体时段。候补转确定新增4条。用户最关心的问题仍然集中在两个：通勤浮动、月供计算。
周砚把这些写进D6动作清单：开放日当天答疑位重点只盯这两个问题，其他问题按Q&A库处理，避免被带节奏。
17:02，安全部发来补充结论说明。