清晨七点四十，服务台的玻璃内侧像一条薄薄的河岸，把人群与制度空间隔开。河岸上那张小门牌仍旧安静，字不多，却像把所有不确定都压成一个方向：
**核验点唯一：柜台内侧（玻璃内）**
**交接留痕：登记本编号可查**
**提示单规则：无任何联系方式**
护士长走到柜台边，把登记本抽屉上那把小钥匙转了半圈，确认锁舌咬合。她没说话，只把“抽屉取用、双人取用”的动作做得像呼吸一样自然。她知道今天的风险点已经从“样子”转向“工具”：编号校验工具、硬件密钥、白名单终端、内网权限。越是工具化的东西，越容易被伪装成“维护”。
信息科会议室里，周工盯着一张新的告警截图，眉头压得很低。告警不是来自外网钓鱼，也不是来自电话上量，而是来自内网终端白名单的“硬件密钥握手失败”日志：
*07:12:18——白名单终端尝试调用硬件密钥
*07:12:19——硬件密钥握手失败（未知设备指纹）
*07:12:20——触发本地锁定（需双人解锁）
*07:12:22——终端自动断开校验入口
“有人碰了钥匙。”罗工的声音很轻，轻到像在确认一个物理事实。
纪检联络员翻开行动单，新页眉写得干干净净：**硬钥匙**。她在下面写下第一条结论：
**当编号不再能撬门，对手会转向钥匙本身。**
护士长抬头：“硬件密钥不是放在保险柜里吗？”
罗工点头：“放在柜里。但调用发生在白名单终端上。有人可能没有拿走钥匙，只是在终端附近做了‘替换’或‘插入’动作。”
周工把目光从屏幕挪到窗外：“这不是远程钓鱼，这是近距离动作。近距离动作的伪装，通常只有一种——维护。”
纪检联络员没有提高音量，只把笔尖在行动单上点了一下：
**维护一律门牌化：工单编号、派工单编号、双人陪同、全程固证。**
系统提示在林昼视野边缘亮起：
【态势：攻击从编号转向硬件密钥与白名单终端】
【**险：伪装“系统维护/密钥更换/终端升级”】【关键：维护门牌化（工单/派工/双人/固证）】
林昼站在走廊里，忽然想到父亲说过的“换锁”。编号是门号，核验是门，钥匙就是锁芯。锁芯一旦被摸到，所有门牌都可能失去意义。今天要做的，是把锁芯也变成门牌——让每一次触碰都必须留痕。
---
###1）第一名“维修员”出现：他带着箱子，比白大褂更像真的
八点二十五，服务台旁的侧门通道出现一个男人，背着工具包，手里提着一个塑料箱。箱子上贴着打印标签：“安全密钥更换套件”。他没有靠近队伍，也没有对家属说话，只径直走向服务台内侧通道入口，像走一条很熟的路。
保安按新节拍走近，先问一句很标准的话：“请出示工单和工牌，登记后进入。”
男人笑了笑，语气很自然：“信息科叫我来的，密钥快到期，要更换。耽误的话系统会停。”
“停”字一出，就像有人在空气里按了一下按钮。很多人会本能紧张，因为“停”意味着麻烦，意味着队伍更慢，意味着投诉更多。
但保安没被“停”带走，他只重复流程：“请出示工单编号，到柜台内侧登记核验。”
男人把一张纸掏出来，纸上确实有一个编号。编号看起来也像内部工单的格式：两段字母加日期位。男人抬抬下巴：“你看，工单在这。”
保安没有接纸，只指向服务台玻璃内侧：“请到柜台内侧核验工单编号并登记。”
男人眉头轻微动了一下：“我赶时间。”
保安仍旧短：“登记后再进。”
这就是门牌逻辑：不管你多急，你都得先过门。急是对方的节奏，登记是我们的节拍。
护士长听见动静走来，没有插话，只站在服务台侧边。服务台人员打开编号校验工具，输入那串工单号，结果弹出两个字：
**不存在**
服务台人员抬头，只说一句：“系统查不到工单。”
男人笑容僵了一瞬，马上补一句：“可能还没同步，我这边是外包系统——”
纪检联络员正好走到服务台，声音不高，只有动作：“外包工单无效。请联系信息科走正式派工流程。”
男人把箱子往后提了提，像准备撤离。他撤离的动作很干净：不争辩、不纠缠、不解释，转身就走，像早就知道“工单核验”是撤退触发器。
可他走到门口时，保安已经按流程拍照固证：工具箱标签、工单纸张、工牌样式、撤离方向。照片不会抓住他，但会抓住“样子”。样子一旦被抓住，下次换皮就更难。
“他不是来维修的。”护士长说得很平，“他是来摸门的。”
周工点头：“摸门不成，就会摸锁芯。”
纪检联络员把这起事件写进行动单：**伪维护携“密钥更换套件”试图进入内侧通道，工单核验失败撤离**。并在后面补一条：
**从今天起，任何涉及密钥与白名单终端的维护，必须提前一天在系统内生成工单，且需双人到场确认。**
提前一天意味着时间缓冲。骗子最喜欢“现在立刻”，因为立刻能压缩核验。提前一天把核验拉长，立刻就失效。
---
###2）握手失败的真相：他们没拿到钥匙，只碰了接口