刘明远的调查结果在第二天下午到了。他打来电话的时候没有寒暄，直接开口：“查到了。那个仿冒邮箱的注册IP来自城西一家网吧，上网记录显示注册时间是晚上九点以后，用的是一个临时卡号。网吧的监控只能保留七天，但注册时间在监控覆盖范围之内。我让人截了那个时间段的视频画面，画面里有一个人坐在角落的位置，穿深色外套，戴了帽子，看不清脸，但身形跟之前陈明在城北厂区留下的描述基本一致。但同一台机器在注册前四十分钟，有人用另一个临时卡号登录过一次，那次登录访问的邮箱地址是远创内部的一个员工邮箱。”

“谁的？”

“杨磊的。”

陈默握着手机，在办公椅上坐了两秒，目光落在桌面上那几页汉斯订单的规格确认函上，停了一拍，然后开口：“继续。”

“杨磊的邮箱在过去两周内有三封涉及汉斯订单的邮件被转发到了一个外部地址。那个外部地址没有走远创的服务器，所以没有触发内部告警。但邮件转发的时间点跟仿冒邮箱的登录记录之间有重叠。那三封邮件的转发方式不是手动操作的，是邮箱规则自动执行的。有人在杨磊的邮箱设置里加了一条转发规则。规则名写的是‘客户档案备份’，放在规则列表最下面，如果不点开详细列表根本看不到。”

陈默把手机换了一只手拿：“他邮箱的密码是什么时候改的？”

“最后一次改密码是一个月前。但那条转发规则是上周三才加进去的。”

上周三，汉斯第二批订单确认函发出的前两天。有人在杨磊不知情的情况下进入了他的邮箱，加了一条自动转发规则，把所有涉及汉斯订单的邮件副本转到了外面。这条规则加上之前注册的仿冒邮箱，形成了一条完整的截取链。先截邮件，再仿冒身份，然后用截取到的信息去接触供应商。

“杨磊的电脑最近有没有修过或者借给别人用过？”

“我查了IT那边的记录，上周二杨磊的工位电脑报修过一次，维修单上写的是键盘故障，更换键盘。维修人员是外派的，不是远创的人。那家维修公司的资质记录我查了一下，是正规注册的，但接单派人的流程比较松散，谁有空谁去，维修人员身份没有经过二次核验。”

陈默挂了电话之后坐在办公椅上没有动。窗外的阳光正从云层缝隙里透出来，在桌面上铺了一小块干净的暖色，边缘刚好切在汉斯确认函的边角上。他看了一会儿那道光的位置，确认它停在了桌角的位置没有移动，然后站起来走到前台。

杨磊正在整理明天的出货单，看到他走过来抬头说了一句：“哥，怎么了？”