凌晨五点三十，城市的天还没亮透，信息科的屏幕却像一排不肯眨眼的灯。昨晚捕捉到的“断供令”证据被封存后，所有人的注意力都从“按住旧心脏”转向同一个问题：他们会把心脏搬到哪里去？

周工把白板上“断供令”的红圈往右挪，写下四个字：**迁移窗口**。

“对方最危险的时间，不是他们投流最猛的时候。”他说，“是他们撤退搬家的时候。搬家会慌，会乱，会留下箱子落在路上。我们要做的，是在他们还没把箱子搬进新仓库之前，把箱子扣住。”

罗工把昨夜到今晨的监测曲线放大。归集点旧短链的访问量在凌晨三点后突然大幅下降，几乎像被人为切断；与此同时，几个此前没有出现过的域名解析请求开始在不同地区冒头，解析规则与旧短链高度相似，只是换了壳、换了跳转页面的皮。

“他们在换门牌。”罗工说，“但楼里的走廊没换。解析规则、像素参数、跳转节奏都一样。这说明他们在赶时间，来不及重搭系统。”

纪检联络员盯着那几条域名解析记录：“把这批新域名列入临时核验黑名单。只要公众核验，就会提示‘**险链接’。”

“已经推送到核验库。”罗工说，“另外还有一个异常：从凌晨四点起，多个收款主体开始向同一个新的对手方试探性转账，名目统一写成‘会务服务’。”

周工看了一眼对手方名称，笑意很淡，却带着锋利：“会务服务――典型的新皮。互助群不好做了，代办不好做了，就换成线下‘讲座’‘沙龙’‘会务’。把采集从线上搬到线下，再把线下收的钱线上归集。”

护士长这时从病区过来，脸色比往常更严。她递给纪检联络员一张纸，上面是三条家属反馈：

1）有人在朋友圈发“线下材料说明会”，地点在某商务酒店，宣称“官方流程解读”“教你一次过”，报名费199。

2）有人私聊说“断供整治导致返还可能重排”，建议“先交一个资料审核费锁住位置”。

3）有人冒充志愿者，说“系统升级中，先把回执发我登记到新系统”。

“最后收割开始了。”护士长说，“他们要在搬家前把能收的都收一遍。”

纪检联络员点头：“这就是迁移窗口的常态动作：一边撤退，一边恐吓，一边换皮，一边收割。我们必须让公众知道：‘升级’‘重排’‘说明会’都是**险信号。”

周工没有拖延：“启动迁移期三件事：**堵新归集点、打线下会务、做蜜罐抓箱子**。”

系统提示在视野边缘亮起：

迁移窗口：旧链断供→新域名新名目线下会务转供

风险：最后收割（重排恐吓升级登记说明会收费）

行动：堵新归集点+打线下会务+蜜罐捕捉迁移箱子

---

上午七点四十五，第一件事落地：**堵新归集点**。

执行端与支付机构联动，对“会务服务”类异常收款进行临时风险标记。标记不是冻结全部交易，而是对来自“**险来源集”――也就是与互助群捐助码、代办团伙、脚本投流关联的付款主体――设置更严格的验证与延迟清算，要求提供会务合同、参会名单、发票与场地证明。

“他们越喜欢写‘会务’，越说明他们没东西可证明。”周工说，“真会务拿得出合同、场地、名单，假会务只能拿出话术。”

罗工把“会务服务”对手方的工商信息调出来：注册不足三个月，注册地址为共享办公；法人名下还有两家“文化传播”“咨询服务”公司；联系电话与此前归集点空壳客户清单里的某个号码段高度相似。

“新归集点的轮廓很清楚。”罗工说，“同一批联系人，同一批邮箱域名，同一类注册节奏。”

纪检联络员当场下令：“把这条联系人与邮箱域名模式写进预判规则库。新公司只要踩中三项，就进入重点监测。迁移期最怕漏掉第一批新壳。”

---

上午八点半，第二件事推进：**打线下会务**。

他们没有去“抓讲座”这种容易引发误解的动作，而是用更精确的方法：以“涉嫌虚假宣传与非法收费代办”的线索，对发布收费说明会的账号与组织方发出监管约谈通知；同时联动酒店方，要求其核验会务主办资质与活动内容，明确不得以“官方合作”“内部名额”为噱头进行收费推广。

护士长提供了一个关键细节：那条说明会的宣传海报里，用了“窗口服务台确认单”的视觉元素――颜色、排版、甚至右下角的二维码样式都在模仿。

“他们在用我们的皮做自己的门。”护士长说，“这比普通诈骗更危险，会让老人以为‘这就是官方’。”

纪检联络员点头：“那就让酒店也参与守窗。酒店敢承接，就等于给他们提供线下采集场。”

于是，工作组把“会务风险提示函”发给多个常见会场酒店与商务中心，内容极短但很硬：

*不得承接以“返还加速内部名额官方合作”为噱头的收费活动

*如发现疑似活动，请联系核验渠道

*任何收集回执、身份证复印件的行为均为**险

这一步看似不惊人，但对转供链很致命：线下会务需要场地。场地一旦变得难租，线下采集的成本就上升，迁移就更容易露出破绽。

---

上午十点二十，第三件事开始布局：**蜜罐抓箱子**。

蜜罐不是引诱公众上当，而是在法律与合规边界内，搭建一套“假快道入口”，让对方在试探时暴露自己――比如他们会用什么短链服务、会把数据往哪里回传、会用什么收款主体、会用什么后台管理账号。

罗工解释得很清楚：“我们不让普通人去点蜜罐。蜜罐只对他们的爬虫与投流系统可见。它像一只空箱子，专门等他们来搬。”

技术组很快上线一个“伪落地页”，页面内容是公开的反诈提示与核验入口，但在底层埋入标记：如果对方用自动化脚本扫描、批量生成短链、或尝试注入跳转参数，就会触发回传，记录其服务器指纹与请求路径。

周工对蜜罐的期待只有一句：“他们迁移期最急，会偷懒。偷懒就会踩蜜罐。”

系统提示闪动：

迁移期三件事：堵新归集点打线下会务蜜罐捕捉技术指纹

核心：抬高迁移成本，让他们搬箱子时掉东西

---

中午十二点四十分，病区里出现了迁移期最典型的恐吓话术升级。

一个陌生号码给多名家属打电话，开场非常温和：“您好，我们是流程升级回访组。近期专项整治，系统会进行一次排序校准。为避免您的编号受影响，请配合做一次资料核验。您现在方便打开短信链接吗？”

短信链接的域名很新，但跳转结构与旧短链一致。对方的语气没有威胁，反而像“帮你避免损失”。这类话术对焦虑的人极有效。

护士长接到反馈后，没有让家属去“和对方争”，而是让他们做一件更简单的事：挂断、截图、核验。

她在群里发出红字提醒：“任何提‘排序校准’‘升级回访’‘避免编号受影响’的电话，一律挂断。官方不会电话让你点链接，更不会让你输入验证码。”

同时她把“迁移期恐吓话术清单”贴到公告栏：

*排序校准

*编号受影响

*系统升级回访

*需要重新登记

*资料核验链接

*交审核费锁位置

她知道：迁移期对方最需要的是“让你离开核验”。只要你离开核验，进入他们的链接，你就等于把钥匙交给了搬家的人。

纪检联络员收到这些电话样本后，立刻把“排序校准”作为新关键词加入脚本模板库，并对相关短链域名发起快速处置流程。她同时要求对外发布一条极短公告，只强调一句话：**“返还排序不因专项整治而重排，任何声称重排并要求点链接者均为诈骗。”**

这句话必须出现，因为它直接打掉对方最核心的恐吓收益。

---

下午两点十七，蜜罐终于有了动静。

罗工的屏幕上跳出一组异常请求：来自境外云服务器的自动化扫描，试图批量生成短链并插入跳转参数。请求头里携带的某个自定义字段，与此前归集点技术维护公司使用的后台管理系统字段一致――像同一套程序换了服务器继续跑。

“踩到了。”罗工说。