下午两点。

    会议不在任何政府大楼里开，地点在西郊一处不挂牌子的院落。孙铭的车被拦在门口检查了三遍证件才放行。

    会议室不大，长条桌两边坐了十二个人。孙铭只认识李卫国和韩涛。

    其他人没有做自我介绍，也没有人递名片。

    李卫国主持。他把鼎盛信息服务的客户名单投影在墙上。

    “在座的都已经看过材料了。鼎盛在2019年到2021年期间，以it外包服务的名义，向至少十二家国内科技企业输送过技术人员。其中七家与军工领域有直接或间接关联。”

    “华耀的案例已经实锤。it运维工程师王坤，通过管理员权限长期访问多部门核心文件。车机植入数据采集模块，回传gps和行踪数据至境外节点。目前王坤失联，初步判断已经出境。”

    投影翻到下一页。

    “除华耀外，另外六家企业是否也存在同类渗透，目前尚未确认。但根据π汽车技术团队的代码分析——”

    李卫国看了孙铭一眼。

    “鼎盛这条线和此前攻击π汽车车机系统的sentinelgroup，使用了同一套加密通信工具链。代码层面存在关联。”

    会议室里有人翻材料的声音停了。

    一个坐在对面的中年男人开口了。声音很低，带着军人特有的克制。

    “也就是说，境外攻击力量和境内渗透线路，可能是同一个指挥体系？”

    “目前的证据指向这个方向。但还不能下定论。”李卫国的用词很谨慎。

    “代码关联的可信度有多高？”另一个人问。

    李卫国转向孙铭。“孙总，这个问题你的技术团队来回答比较合适。”

    孙铭站起来。

    “特征函数完全一致，使用的开源加密通信库的fork来源相同，fork账号与恶意固件回传地址的域名注册邮箱一致。三个层面的关联，同时吻合是巧合的概率极低。”

    他顿了一下。

    “但代码关联只能说明工具链的来源相同，不能直接证明指挥体系统一。有一种可能是——两条线分别从同一个工具供应商那里采购了同一套通信工具。”

    “工具供应商？”

    “开源社区里存在灰色的工具分发链。部分特定用途的加密库，通过私密的fork渠道定向分发给特定用户。这些用户之间可能互不认识，但用的是同一套东西。”

    坐在角落的一个年轻人举手。“我们能不能追溯那个fork账号的注册信息？”

    “已经追了。”孙铭回答，“注册邮箱是一个匿名邮箱，ip归属在日本东京。跟鼎盛那条线的cdn节点在同一个城市。”

    又是日本。

    会议室里安静了几秒。

    坐在最左边一直没说话的一个人终于开口了。五十多岁，头发剃得很短，说话带着东北口音。

    “我负责通信芯片那家企业的安全督导。鼎盛2020年往我们那边派了两个it外包人员。一个去年合同到期走了，一个还在。”

    “还在？”李卫国的声音紧了。

    “今天上午我接到通知之后查了。人还在岗。没有异常行为记录。但——”他翻了一下手里的纸，“这个人入职的时候，鼎盛提供了一套完整的背景调查报告。报告是鼎盛自己出的，我们当时没有独立核实。”

    会议室里又安静了。

    “七家企业，是不是都一样？”李卫国问。

    没有人回答。

    这就是答案。

    李卫国合上了材料。

    “以下是处置方案。第一，七家企业同步启动内部安全审查。审查对象是2019年到2022年期间通过it外包渠道入职的所有人员。审查由各企业安全部门执行，我们派人现场督导。”

    “第二，王坤的出境通道立刻封锁。全国出入境系统录入红色标注。同时通过国际刑警渠道向日本方面发出协查请求。”

    “第三——”李卫国看了孙铭一眼，“π汽车和华耀方面已经公开披露了攻击事件。后续的媒体应对，由宣传口统一协调。企业方面不再单独发声。”

    孙铭点了一下头。

    “第四，鼎盛信息服务的法人刘海洋，在日本的位置需要尽快锁定。这个人是整条线的枢纽。”

    会议在四十分钟后结束。

    孙铭走出会议室的时候，韩涛跟了上来。

    “孙总，有件事跟你说一声。”

    “嗯？”

    “高建文的案子，检举材料造假已经定性了。但他本人目前还在配合调查——他交代了一些其他的事情。”

    “什么事？”

    韩涛压低了声音。