纪检联络员没有慌，第一句话是：“群众端口径不变。”第二句话是：“把纸质入口也当入口。”
罗工迅速给“纸质入口”建立证据桶编号：二维码跳转链路、专线号码归属、回拨机制、以及二维码页面的追踪参数。二维码一扫，跳到的仍然是一个表单，只不过换了域名。域名注册信息被隐私代理遮蔽，但回调参数与此前T-Forms的追踪格式高度相似。
“换壳不换骨。”周工说。
护士长听见这句，心头稍微松了一点。她把传单收走，在等候区贴上三步法。她没有写“谨防诈骗”，也没有列举“纸质传单骗局”，只写：
1）先看状态码
2）不付费、不私发
3）见链接就举报
有人问她：“那这个专线能不能打？”
护士长只回一句：“窗口不需要专线。”
这句话像一把剪刀，直接剪断了传单想制造的“专属通道”幻觉。
---
###4）断电试验启动：夜间潮汐前的降压
傍晚六点，信息科像进入一种更严格的静默模式。不是因为紧张，而是为了不让任何无关的动作污染对齐。罗工把“受控降压”窗口设定在晚上九点零五分到九点二十五分——这是对方最喜欢“开潮”的时间段，也是群众最容易疲劳的时间段。
纪检联络员强调三次：“窗口不改动、提示不加量、群众端无感。”
九点零五分，平台侧强验证门槛开始生效。效果几乎立刻出现：S-ROOM后台的“批量邀请权限”开关第一次尝试开启，触发二次验证，验证失败；三分钟后第二次尝试，切换验证方式；又两分钟后第三次尝试，进入冷却。
冷却意味着什么？意味着他们今晚的潮汐被截断，扩音口被降压。
“切换发生了。”罗工盯着面板，声音很低，“他在绕行验证门槛。”
绕行验证门槛的动作本身，就是最硬的回声。因为正常运营者不会在几分钟内频繁切换验证方式，只有控制岗位在救火时才会这么做。
九点十四分，T-Forms后台出现字段变更尝试：把“手机号”字段隐藏，把“验证码”字段改成“口令”。这是一种典型的“降低门槛”手法——把验证压力从平台侧挪到他们自己的话术侧，让群众以为输入口令就能通过。
然而字段变更同样触发强验证门槛，验证失败，进入冷却。
“两个口都被压了。”周工说，“他们必须启用备用线路。”
备用线路很快出现。九点十八分，一个新的语音房平台链接开始被投放，入口结构仍旧三段，但链接特征字段不再是S-ROOM，而是一个全新的短链服务。与此同时，纸质传单上的专线号码开始高频回拨——他们试图用电话替代平台扩音。
纪检联络员没有阻止投放，也没有阻止回拨，她只说：“让他们用力。”
让他们用力意味着更多动作，更多动作意味着更多节点暴露。
---
###5）备用线路暴露：岗位交接的痕迹出现在“同一分钟”
九点二十一分，最关键的回声出现了。
平台侧监测到一个异常：原本负责控制岗位的设备指纹在同一分钟内出现了两个不同的会话重签请求，分别来自两个网络类型——一个是写字楼固定出口的特征，一个是蜂窝移动网络切换特征。两者的请求间隔只有四十七秒。
四十七秒意味着什么？意味着很可能有两个人在同时尝试接管同一权限，或者同一个人同时用两条线路救火。但无论哪一种，都指向“岗位交接”或“岗位争抢”。
罗工把这条记录放到大屏，指着时间戳：“这是拎影子最需要的东西——同一分钟的矛盾。矛盾说明有人慌，有人抢。”
周工的声音更冷：“抢的时候会说真话。”
果然，镜像系统在语音房里捕捉到一段管理员的指令（仍以证据摘要形式固化）：
“别动后台，我来。周二不在位，先别开。”
这句话比任何自述都硬。它不是对群众说的，是对内部说的。内部对话不会为了骗外人而编，它只为了让组织活下去。它承认两件事：
第一，后台必须有人“来”；
第二，周二存在“在位/不在位”的状态——岗位特征清晰。
纪检联络员把这条指令的出现时间与那四十七秒的双会话重签对齐，闭环再次加固：语言证据与审计证据同频共振。回声不仅来自系统，也来自他们自己。
---
###6）对方的强行救火：把“口令”推向群众端
九点二十五分，强验证门槛的受控降压窗口结束，但对方的救火并没有停。他们选择了一条最危险、也最容易失败的路：向群众端推“口令”。
病区群里有人把截图发出来：一条私信写着——“输入口令‘安全’可快速通过临时核验”。口令越简单越能扩散，但也越容易被识破。因为窗口从来不需要口令，窗口只需要状态码。
护士长没有解释口令骗局，她只用三步法回应：“先看状态码，别私发。”