设备序列号能读到吗？”

顾明点头：“能。序列号属于一把安全密钥。编号与……李骁刚才说的一致。”

这一下，李骁的供述开始从“故事”变成“字段”。

罗主任看着终端，声音很低：“读取共享账号登录历史。”

顾明调出日志，屏幕上出现一串账号：zs.board、ops.emergency、ch、hy、lx……其中zs.board在五点十三分登录，随后打开文档协作平台，做了两条批注：一条“只留notes”，一条“按这个口径走”。

“批注确认。”顾明说，“与昨夜OD-LOG-213一致。终端是源头。”

更令人窒息的是，日志里还有一个动作：五点十五分，终端访问了一个加密云盘的上传链接，访问持续了四十七秒，然后断开。这个动作不像普通查看，更像“上传或同步”。

顾明立刻把这条访问记录截取封存，生成新证据包：OD-LOG-217（终端外联访问记录）。哈希生成完毕，警方技术人员在记录卡上签字。

外联访问意味着泄露路径可能确实从终端发生过。是沈婧自保导出？还是有人另有目的？还需要对齐门禁与人员。

“把门禁对齐拉出来。”罗主任说。

纪检专员把门禁点位的出入记录调到五点前后：五点零九分，李骁进入；五点十一分，沈婧进入；五点十七分，两人先后离开。五点四十六分，周秘书长进入；五点五十三分离开。

看到周秘书长的出入时间，现场没有人说话。不是震惊，是一种更冷的确认：意见源的边界，正在从“助理”“专员”向“核心结构”逼近。

陆律提醒：“门禁显示进入，不等于参与操作。但它足够触发问询。问询必须按程序，避免被说成‘以门禁定罪’。”

周砚点头：“门禁只说明在场。是否操作看设备指纹、账号登录、键鼠事件日志。我们按证据说。”

顾明已经在查键鼠事件：“五点十三分到五点十六分有连续键鼠事件，指纹匹配终端自身，不涉及外接鼠标。五点四十六分那段，键鼠事件很少，主要是打开了一个日历文件和一份‘材料流转建议’文档，未做编辑。”

“他看过。”梁总低声说。

周砚没有用“看过”这种主观词，他说：“终端日志显示在周秘书长进入时间段，打开过相关文档。是否阅读不判断，但打开是事实。”

事实就够了。事实会逼迫解释，解释会留