清晨七点二十，信息科的显示墙上那段“空白”仍然在。入口证据桶的编号像被放慢的秒针，一格一格地往前挪。对外看，这是好消息：潮水退了，夜里更安静；对内看，这是风险：潮水退到深处，下一次起浪往往更突然、更换壳、更难一眼识别。
纪检联络员把行动单摊开，页眉只有四个字——**换壳监测**。她没有延续“归零窗口”的情绪余温，而是把整个团队拉回一种更冷静、更工程化的姿态。
“归零不是结束，是一次重启。”她说，“他们会用新的域名、新的短链、新的表单、新的收款，再配一套更温和的话术。我们要做的不是等他们来，而是提前给‘新壳’打上指纹。只要指纹在，壳再新也没用。”
周工抬眼：“指纹怎么打？我们不能主动碰后台。”
“我们不碰后台。”纪检联络员回答得很清楚，“我们只在我们自己的系统里建立‘壳指纹库’：解析特征、跳转参数、模板结构、文案骨架、回拨节律、收款结构。新壳只要复用任何一部分，就会自己进库。”
罗工已经把“归零窗口”里出现的三类关键特征整理成模板：
***短链解析指纹**：托管服务商特征字段、TTL波动、跳转链长度、落地页路径命名规律。
***表单回调指纹**：追踪字段命名、字段顺序、隐藏字段的默认值、回调端点的签名格式。
***收款结构指纹**：分级套餐梯度、紧急程度映射、引导语句的停顿位置（对应回拨脚本）、延迟清算后的改通道行为。
这些东西看起来琐碎，但琐碎才是组织的弱点。组织能换壳，往往因为壳可换；组织难换骨，往往因为骨要训练、要流程、要习惯。习惯就是指纹。
护士长此时推门进来，脸色比前几天轻松了不少：“病区昨晚很安静，几乎没人转发链接了。三步法贴着，大家就照做。传单这两天没再出现。”
周工点头：“他们归零后，线下也在收手。”
护士长犹豫了一下：“但也有变化。有人开始问‘窗口是不是不管了’，因为看不到骗子了，反而担心我们撤了。”
纪检联络员抬眼：“告诉他们——窗口一直在。看不见骗子不是撤，是有效。有效最容易被误解成没做事，所以群众端要更简洁、更固定。继续三步法，继续准点更新，不解释‘我们正在做什么’。”
护士长应了一声，准备离开。她走到门口又回头：“还有一件事。有人说昨晚收到陌生号码短信，内容不是让他付费，是让他‘填个回访问卷’，很像正规调查。”
罗工的眼神一下变了：“问卷？”
护士长把短信截图发来。文案非常温和，甚至带着“感谢配合”的语气，没有威胁、没有紧迫，只留了一个短链。
周工看完，语气很轻：“新壳来了。”
系统提示在林昼视野边缘亮起：
【新壳信号：温和“回访问卷”短链】
【优先比对：短链解析指纹/表单回调指纹/回拨节律】
【原则：群众端无感，内部高频采样】
---
###1）温和不是善意，是更高的转化
上午九点，罗工把短链在隔离环境里展开。跳转链只有两层，落地页干净，配色像正规机构，标题写“服务体验回访”。页面第一屏只有三项：姓名、手机号、就诊日期。第二屏才出现“是否需要材料协助”，第三屏出现“是否愿意加入互助群获取整理模板”。
没有“核验”，没有“加速”，甚至没有任何“费用”字眼。它像一张经过训练的网，先用“回访”降低警惕，再用“材料协助”提供出口，最后用“互助群”完成圈养。
“他们学会了。”护士长低声说，“用医院的语言来骗医院的人。”
纪检联络员没有评价“学会”与否，她只看指纹。罗工把页面源代码拉出来，指着一个不起眼的字段名：“trackg_source”。字段命名风格与归零窗口前的入口页高度一致。更关键的是隐藏字段里还有一项默认值：“roo_ode=B”。
周工立刻明白：“今晚走B”的影子还在。”
“换壳换文案，但骨架仍是A/B分流。”罗工说，“而且‘B’默认值说明他们依旧把材料协助作为主腿。语音房那条腿暂时收起来了。”
纪检联络员点头：“收起来不是不用，是等待。等群众松懈、等疲劳回潮、等我们误以为结束。”
她在白板上写下四个字：**冷启动**。
“新壳冷启动阶段最怕什么？”她问。
周工答：“怕没流量。”
“对。”纪检联络员说，“流量是他们的燃料。冷启动需要稳定入口，需要批量投放，需要回拨脚本。我们要做的，是让他们的冷启动每一步都变成成本。”
---
###2）壳指纹库第一次命中：同一套骨架再次出现
十点十五分，壳指纹库对新短链的解析特征给出命中结果：托管服务商与归零窗口时一致；TTL波动模式一致；落地页路径命名规则一致——都喜欢用两段英文加四位数字，例如“survey-4821”。
十点四十二分，表单回调指纹命中：追踪字段顺序与旧模板一致；隐藏字段默认值逻辑一致；回调端点签名格式一致。
十一点整，收款结构指纹尚未出现，因为新壳暂时不谈收费。但纪检联络员并不担心：“收费会在第三步出现。先把人圈进互助群，再一对一私聊分层。收费只是时间问题。”
周工看着命中报告：“壳再新，也逃不出训练过的模板。”
纪检联络员把“新壳”写进行动单：“编号：SHELL-01”。她要求所有后续动作，都围绕这个编号归集证据：短链、表单、互助群、回拨号码、以及未来可能出现的收款落点。
“我们不急着把它打掉。”她说，“我们要让它长到足够暴露控制链的程度。冷启动阶段，控制面一定会更频繁介入。介入越多，越容易出现验证切换与岗位交接。”
罗工点头：“尤其是他们怕再触发强验证门槛，会换一种管理方式——更依赖备用验证、更多临时授权。”
“临时授权就会回到九分钟节律。”周工补充。
纪检联络员没有笑，但眼神里有一瞬间的确定：“九分钟是他们的心跳。只要心跳还在，我们就不会丢。”
---
###3）群众端的“无感”：不把新壳变成新恐惧
护士长提了一个现实问题：“回访问卷这种东西，太像真的。群众端只靠三步法，能挡住吗？”
纪检联络员回答得很稳：“能。三步法不依赖识别真假，它依赖行为：先看状态码、不私发、见链接就举报。问卷再真，也是一条链接；要手机号，也属于私发；只要群众坚持动作，它就失效。”
她停了一下，又补充：“但我们要在病区端做一个轻微调整：把‘不私发’这三个字解释成‘不填陌生表单’。不需要讲更多类型，只在三步法旁加一句小注：**陌生问卷也不填**。”
护士长点头：“我可以把这句加在纸上，但不发长文。”
“对。”纪检联络员说，“越短越好。短才能坚持。”
这就是他们在这条战线里学到的经验：对抗骗局不能靠知识密度，靠的是动作稳定。知识越多，疲劳越大；动作越少，耐久越强。
---
###4）回拨节律出现：新壳的电源开始接通
下午四点，新壳第一次出现回拨。不是高频轰炸，而是一种更“客服式”的节奏：先短信提示“有专员回访”，再五到十分钟内回拨一次，若未接通，间隔三十分钟再拨。
回拨号码归属地与旧链条不完全一致，显然换了号。可回拨模板的语气与停顿位置仍旧有熟悉的节奏：先确认身份，再强调“为了避免信息泄露”，最后引导“加一个互助群，发你材料整理清单”。
罗工把回拨模板的关键句抽出来，放进指纹库比对。命中结果立刻跳出：与归零窗口前“材料协助”脚本高度相似，只是删掉了“加急”相关词，增加了“回访”“体验”这样的软词。
“他们把刀包上布。”周工说。
纪检联络员的关注点仍旧是“电源接通”：“回拨出现，说明他们开始投入人力。人力投入意味着内部管理会更频繁，控制面会更忙。忙的时候最容易切换验证、最容易发口令。”