秦天盯着电脑屏幕上的紧急通知，手指在键盘上快速敲击。玫瑰小组发来的消息很短，但信息量很大：目标设备正在批量导出加密日志。他没有立刻采取行动，而是先调出系统权限记录，确认这台终端的归属单位仍是地方协作平台下属的信息中心。

他知道，现在动手太早会打草惊蛇。

他拿起桌上的内线电话，拨通高河。“马上联系内网安全组，以‘例行维护’名义冻结编号xJ-307的终端外传权限，动作要轻。”

“明白。”高河的声音干净利落。

不到三分钟，系统反馈更新：该设备已进入隔离状态，所有传出数据被自动截留，并植入追踪标记包。

只要对方继续尝试传输，真实接收地址就会暴露。

秦天靠在椅背上，闭眼两秒。这不是单纯的泄密，而是一次有预谋的技术围猎。林家选了一个外包服务商做掩护，利用第三方权限漏洞插入操作节点，再通过伪装成系统更新的数据流转移证据。手法隐蔽，路径复杂，偏偏又不越界——至少表面上看，每一步都符合流程规范。

他睁开眼，打开另一个加密窗口，接入潜行的通讯频道。

“我要你盯住‘安盾信科’的外围网络，重点查非工作时间的远程登录记录，尤其是跨区域Ip跳转。”

“已经进了。”潜行回复，“昨晚两点十七分有一次异常登录，源Ip来自澳门，跳了三次才落地，操作账号是临时工用的测试号。”

“把这条路径存下来，和之前那个伪装更新包的中转节点做比对。”

“正在交叉分析……匹配度百分之八十二。”

秦天嘴角动了一下。不是巧合了。

他切换界面，调出一份名单，是近三年与“安盾信科”合作过的政府部门项目清单。这些项目大多涉及信息系统升级，而中标方式清一色为“单一来源采购”。他记下几个关键单位，随后拨通一个私人号码。

电话响了两声就被接起。

“老陈，最近审计厅那边有没有查到什么有意思的东西？”

“怎么，你也注意到了？”对方笑了一声，“前两天刚翻出一份报告，说某安保公司连续五年承接省级平台改造，合同金额年年涨，验收材料却全是模板复制粘贴。”

“这家公司叫什么名字？”

“安盾信科。哦，对了，背后控股方是宏远系。”

“谢谢，回头请你喝酒。”

“别光说不练啊。”

挂了电话，秦天把审计线索归入文档。制度漏洞、技术后门、利益输送，三条线开始交汇。林家没亲自下场，但每一环都带着他们的印记。

他重新打开“林线”文件夹，将新获取的信息逐一分类上传。此时潜行传来一张网络行为图谱：三条主要数据流向从“安盾信科”服务器出发，分别指向澳门匿名邮箱、境内两个空壳公司的云存储端口，其中一条路径在中途有过一次微小偏移，恰好绕开了国家信息平台的监测节点。

更关键的是，这张图里出现了第三个陌生Ip段，频繁与前两者交互。虽然目前无法确认归属，但地理位置显示其注册地为东南沿海某自贸区，那里有不少挂着“科技咨询”招牌的皮包公司。

秦天记下了这个Ip段编号。

他正准备进一步筛选关联企业时，手机震动。一条短信弹出：

“你查得越深，她就越危险。”

没有署名，号码也是虚拟号段。

他没删短信，也没回拨，只是把内容截图保存，放进“林线”的附加证据包。威胁不会让他停下，反而说明他已经踩到了对方的痛处。

他站起身，在办公室来回走了两圈，然后坐回位置，打开通讯录，找到两个名字。一个是南方某市监察委副主任，另一个是东部战区后勤信息化办的负责人。两人都是他在早年特勤任务中结识的老关系，不属于任何派系，做事讲规矩也守底线。

“帮我查一下‘宏远咨询’和‘安盾信科’的实际控制人变更记录，特别是过去六个月内的股权变动和资金流水。”

“你要硬碰？”对方问。

“不，我在织网。”

“懂了。三天内给你答复。”

通话结束，他又给赵雷发了一条指令：暂停所有非必要外联任务，内部通讯一律走加密通道，任何人找他都说他在写报告。

做完这些，他点开监控后台，查看大楼一楼大厅的实时画面。林子耀上午停留的区域现在空无一人，但十分钟前，一名身穿灰色工装、戴鸭舌帽的男子曾出现在东侧电梯口，手里提着一个黑色工具箱。摄像头拍不清脸，但身形特征与之前桂林政务大厅出现的“系统维护员”高度相似。

他截图发给玫瑰小组：“比对这个人，重点查他进出公共区域的时间规律。”

“收到。初步判断是同一人。”

“不要打草惊蛇，只跟踪轨迹。”

夜色渐深，办公室只剩他一人。窗外城市灯火稀疏，楼道里的灯光每隔几分钟闪一次。他关掉主灯，只留台灯照明，继续梳理潜行传回的数据。

突然，屏幕上跳出一条新提示：追踪标记包首次激活。

一个隐藏在压缩文件中的信号包成功反向定位，锁定了接收端的真实Ip地址。位置指向澳门南湾区一处商用数据中心，而该机房的远程管理账户，绑定的手机号实名认证人为——林振南。

秦天盯着这个名字看了五秒，然后双手在键盘上快速操作，将整条证据链打包加密，存入本地硬盘的“林线”文件夹。他没有上传，也没有提交备案，只是设置了双重密码保护。