【迁移期三件事：堵新归集点/打线下会务/蜜罐捕捉技术指纹】
【核心：抬高迁移成本，让他们搬箱子时掉东西】
---
中午十二点四十分，病区里出现了迁移期最典型的恐吓话术升级。
一个陌生号码给多名家属打电话，开场非常温和：“您好，我们是流程升级回访组。近期专项整治，系统会进行一次排序校准。为避免您的编号受影响，请配合做一次资料核验。您现在方便打开短信链接吗？”
短信链接的域名很新，但跳转结构与旧短链一致。对方的语气没有威胁，反而像“帮你避免损失”。这类话术对焦虑的人极有效。
护士长接到反馈后，没有让家属去“和对方争”，而是让他们做一件更简单的事：挂断、截图、核验。
她在群里发出红字提醒：“任何提‘排序校准’‘升级回访’‘避免编号受影响’的电话，一律挂断。官方不会电话让你点链接，更不会让你输入验证码。”
同时她把“迁移期恐吓话术清单”贴到公告栏：
*排序校准
*编号受影响
*系统升级回访
*需要重新登记
*资料核验链接
*交审核费锁位置
她知道：迁移期对方最需要的是“让你离开核验”。只要你离开核验，进入他们的链接，你就等于把钥匙交给了搬家的人。
纪检联络员收到这些电话样本后，立刻把“排序校准”作为新关键词加入脚本模板库，并对相关短链域名发起快速处置流程。她同时要求对外发布一条极短公告，只强调一句话：**“返还排序不因专项整治而重排，任何声称重排并要求点链接者均为诈骗。”**
这句话必须出现，因为它直接打掉对方最核心的恐吓收益。
---
下午两点十七，蜜罐终于有了动静。
罗工的屏幕上跳出一组异常请求：来自境外云服务器的自动化扫描，试图批量生成短链并插入跳转参数。请求头里携带的某个自定义字段，与此前归集点技术维护公司使用的后台管理系统字段一致——像同一套程序换了服务器继续跑。
“踩到了。”罗工说。
更重要的是，蜜罐记录到了它的回传地址：一个新的API域名，位于境外某云服务商，路径结构与旧系统相近，只是换了二级域名。
“这就是他们的新仓库门。”周工盯着那串域名，声音很稳，“箱子搬到哪里，门就在哪里。”
纪检联络员立刻下令：将该新API域名纳入协查追加请求，要求境外协查方对其实际控制人、服务器租用信息、支付方式进行核查，并同步对国内可能的付款方（会务服务公司）进行资金路径比对。
“迁移期最大的价值就是把‘新门牌’抓住。”纪检联络员说，“抓住新门牌，他们就算搬家，也是在搬进我们盯着的房子。”
与此同时，执行端对“会务服务”新归集点的限流阈值进一步收紧：凡是与该新API域名有技术关联的支付与转账，一律触发延迟清算与二次核验。
迁移的速度被迫降低。
系统提示亮起：
【蜜罐命中：自动化扫描暴露新API域名（新仓库门）】
【对策：协查追加锁新门牌+国内资金限流阈值收紧】
【效果：迁移被迫减速】
---
下午四点半，归集点旧链条内部开始出现明显裂缝。
网安侧传来消息：被按住的技术维护公司一名外包运维人员，在合规约谈压力下主动提出“配合说明”。他不是核心，但他知道很多“箱子放哪”。他说的一句最关键的话是：“他们昨晚在群里发了‘迁移包’，里面有新的域名、二维码模板、话术脚本，还有一份‘新收款主体名单’。”
“迁移包。”周工重复了一遍，“这就是我们要抓的箱子。”
纪检联络员立即安排依法依规的取证程序，确保证据链完整。与此同时，她让罗工把“迁移包”可能包含的特征预置到系统里：如果出现同款二维码模板、同款话术脚本、同款短链解析规则，就自动关联为同一迁移批次，直接进入**险处置通道。
外包运维人员补充了一个细节：迁移包里还强调了一条内部纪律——“不要再提互助群，统一说‘会务培训’；不要再收服务费，统一走‘报名费’；不要再收回执照片，统一让对方‘现场带材料’，用手机拍一张留档。”
听到“现场带材料”，护士长的眼神瞬间冷下来：“这就是把采集从线上搬到线下。老人拿着材料去酒店，现场被拍照留档，比线上更难察觉。”
纪检联络员没有犹豫：“把这条纳入酒店风险提示函升级版，并对已知活动地点做前置核验。能阻断场地，就阻断采集。”
周工补了一句：“迁移包是供给侧的说明书。说明书一旦落在我们手里，他们的转供链就不再是黑箱。”
系统提示闪动：
【内部裂缝：外包运维供述“迁移包”（新域名/话术/二维码/收款主体名单）】
【新策略：互助→会务培训；服务费→报名费；线上采集→线下拍照留档】