同事借电脑后异常流畅，我立即重装系统，1小时后技术总监被开除

同事借电脑后异常流畅，我立即重装系统，1小时后技术总监被开除

我叫顾承宇，三十二岁，在一家做电力监控软件的公司带一个五人小组。那台工作站放在我工位上，跑编译、接设备、看现场日志，陪我熬过好几个项目。

去年九月的一个周四，同事郭启明来找我借电脑。他的笔记本跑测试脚本卡得厉害，想用我的机器两个小时。

“我用访客账号。”他先说。

我看了他一眼：“你知道密码？”

“上回你帮我开过。”

这话让我顿了一下。访客账号是我申请的，平时只能进测试环境，不能读项目目录。我把屏幕锁上，又检查了一遍权限，才让他坐下。

“只跑脚本，别接外设，也别改环境。”

“放心，顾哥。”

我回到隔壁会议室开会。两个小时后，郭启明把椅子推回去，笑着跟我说：“你这机器是真快，我那脚本跑起来像换了条命。”

我没接话。他拿起自己的电脑离开了。

直到第二天早上，我打开开发环境，才觉得不对劲。

那台工作站平时启动编译器，要等四十多秒。那天十几秒就起来了。我打开平常最容易卡的工程目录，窗口几乎立刻铺开。任务管理器里，内存占用也比我印象中低了一截。

我盯着屏幕看了好一会儿。

机器不会因为别人用过两个小时，就突然长出一块更快的硬盘。除非有人动过它，或者把原有的东西清掉了。

我没去问郭启明，也没在部门群里说这件事。我先把网线拔了，然后拿出平时留在抽屉里的空白移动硬盘，开始保存系统日志和设备记录。

公司给开发机装了终端管理软件。我自己另外开了系统审计日志，主要记录访客账号登录、外接设备、文件访问和网络连接。不是为了盯同事，是因为几个月前有一次项目文件被误删，最后谁也说不清是什么时候发生的。我那时便养成了留记录的习惯。

查到中午，我发现访客账号在前一天下午读过一批我没有授权给测试组的文件。记录显示，访问量接近十一吉字节。目录里既有我们正在做的项目文件，也有一份给客户现场使用的部署包。

我又查了外接设备记录。那两个小时里，有一个移动硬盘接入过工作站。设备名称不是郭启明平常用的那台测试盘。

再往下，我看见一条更让我不舒服的记录：当天下午，有人安装过一款远程访问工具。晚上七点二十，这个工具又建立过一次外部连接。

我坐在工位上，先把日志导出，算了文件哈希值，做了只读备份。然后才拨给郭启明。

“你昨天用我电脑的时候，装过远程软件吗？”

电话那头安静了一秒。

“没有啊，我就跑脚本。”

“接过什么盘？”

“公司的测试盘吧。你要不问下信息部？有些软件可能是他们装的。”

“我会问。”

我挂了电话，没有继续逼问。

一个日志只能说明发生过什么，不能直接说明是谁授意的。访问记录里有访客账号，账号是郭启明在用，但账号权限为什么能读到那些文件，远程工具是谁批准安装的，我当时都不知道。

我打开内部资产系统，想确认工作站的权限状态。那台机器原本标注为受控开发终端，原则上不允许非项目人员导出文件。记录里却显示，前一天，有人把它临时调整成了可导出状态。

审批栏里的名字是技术总监魏成安。

同一页面下面还有一项：访客账号的文件导出权限，申请时间比郭启明借电脑早一天，批准人也是魏成安。

我没有立刻认定魏成安做了什么。权限审批可能有业务理由，审批人也可能不知道实际用途。可当时我看到的事实是：我的电脑被降了保护级别，访客账号被开了导出权限，郭启明在机器上读过大量项目文件，远程工具又在夜间连出去过。

我那一刻最先想到的，不是谁能不能被处分，而是如果客户现场出了问题，最后查到这台机器，坐在这里解释的人会是我。

我把抽屉里的移动硬盘拿出来，重新检查备份有没有写入成功。随后，我打电话给直属经理，请他帮我确认当天谁能到公司。

“怎么了？”他问。

“我的工作站可能被不当访问了。我先隔离和保存记录，具体情况还没确认。你方便过来一趟吗？”

他沉默片刻，说：“你先别动原始证据，我现在过去。”

周六上午九点，我到了公司。值班的保安帮我开了门，整层办公区空荡荡的，只有机房那边的空调在响。

我先在纸上记下每个动作的时间，然后给整块系统盘做镜像。镜像完成后，我计算了校验值，把一份存进公司的安全存储区，另一份加密留存。那块移动硬盘是我自己的，但我没有把公司源码复制到私人设备上；我只保存了必要的日志、系统状态和校验信息。源码仍留在公司的受控存储里。

做完这些，我按公司的标准流程重装系统。

有人问我，既然怀疑有人碰过电脑，为什么要重装？我当时的想法很简单：证据先完整保存，机器再恢复干净，不能继续让一台状态不明的设备连着公司网络。重装不是为了抹掉记录，恰恰相反，镜像和日志都留好了，之后谁要核查，都可以对着原始副本看。

系统安装到一半，我收到直属经理的消息。他已经到公司，正在和信息部确认权限变更记录。我回了一句：原机已隔离，镜像校验完成，初步日志已整理，不要让任何人远程接入。

十点整，我把邮件发给老板、总经理和法务负责人，抄送直属经理与信息部负责人。

邮件没有写谁是贼，也没有写谁一定在背后指使。我只写了几件可以核对的事：工作站在未经我授权的情况下访问了大量项目文件；访客账号权限曾被调整；一款远程访问工具在工作站上运行并发生外连；我已完成镜像和隔离，申请由公司启动正式审查。

附件里包括资产权限变更记录、访客账号访问记录、外接设备记录、远程连接日志、系统镜像校验值，以及事件发生的时间线。

十点二十，老板回了邮件：“承宇，来会议室。带上你保存的记录。”

我把系统重装进度停在最后一步，锁好工作站，去了会议室。老板、总经理、法务负责人、信息部负责人和我的直属经理都在。魏成安坐在靠门的位置，手边放着一杯没动过的水。

我把记录投到屏幕上，一项一项讲。

“这里是账号权限变更。这里是访客账号访问文件的时间。这里是外接设备记录。这个远程工具的连接，发生在当天晚上七点二十。”

魏成安打断我：“你怎么能确定是郭启明把东西拷走的？访客账号本来就不是个人账号。”

“我不能仅凭账号记录确定操作者，所以我邮件里没有这么写。”我说，“我能确认的是，这台机器在他使用期间发生了这些访问。操作者和批准过程需要公司继续核实。”

法务负责人翻着打印出来的材料，问魏成安：“这个访客账号的导出权限，是你批准的吗？”

魏成安看了一眼页面：“我批过临时权限。但那是为了项目测试，不代表我知道他访问了什么。”

信息部负责人接着问：“这台机器从受控终端调整为可导出状态，也是你批的？”

“我不记得具体细节，系统里怎么变更的，你们应该问信息部。”

信息部负责人把电脑转向他：“审批记录在这里，申请和批准的账号都能核验。调整操作不是信息部做的。”

会议室安静下来。

魏成安把水杯往旁边推了推，脸色沉下来：“承宇可能误会了。机器平时也有别的人用，谁知道是不是他自己的软件出了问题。”

我没有跟他争。他说得没错，日志还需要进一步核验。于是我把系统镜像的校验值和记录来源又解释了一遍，也说明了哪些信息是系统自动生成，哪些是我根据时间线整理的。

老板问：“你先把电脑重装了，为什么？”

“我先做了完整镜像和校验，再断网重装。机器不能继续保持未知状态，但原始状态也没有丢。后续审计可以看镜像。”

“你为什么不先告诉我？”

我看着他，说：“我不知道这是不是单纯的权限误操作。邮件发给您和法务，是为了让事情进正式流程。只口头说，最后可能变成我和魏总之间的误会。”

老板没有马上回答。

魏成安的椅子往后挪了一点。他说：“我只是批了临时权限，其他事情我不清楚。郭启明的操作，应该由他自己负责。”

这句话让我心里更冷了一些。因为权限不是自然出现的，机器也不是自己突然变成可导出状态的。

但我没有反驳。我把那几条审批记录重新投出来，指给法务看：“我只能确认这两项审批记录归属魏总账号。至于审批时看到的申请内容、后续有没有人冒用账号、远程软件由谁安装，请你们按流程查。我没有权限查他的个人设备，也不会去做。”

十点四十五，会议室的人开始分别打电话。信息部先冻结了相关账号和远程访问入口，并通知郭启明到公司说明情况。法务让大家保存邮件和原始记录，不要私下传播。

老板让我先回工位。

我刚走到门口，听见他叫住我：“承宇，你为什么不早说？”

我回头看他。

“如果你是问为什么不在发现异常时先单独找你，我确实应该更早告诉你。但当时我不知道事情牵涉到谁，也不知道日志够不够完整。我先隔离设备、保存记录，再把情况同时交给有权限处理的人。这样不是要把谁逼到墙角，是为了别让事实只剩下某个人的说法。”

老板点了点头，没有再说什么。

我回到工位时，电脑已经重装完毕。它看起来比昨天干净，也比昨天陌生。我没有马上登录项目，而是等信息部完成基线检查，再用临时账号测试环境。

十一点多，郭启明到了公司。

他进会议室时，没看我。信息部负责人问他那天接了什么设备，访问了哪些目录，是否安装过远程工具。

郭启明先说自己记不清，后来又说只是按要求跑测试。直到法务把访问时间和设备记录摆到桌上，他才低下头。

“魏总找过我。”他说，“他说只是导出一份项目资料给外部团队看，之后会给我报项目奖。我以为是他已经和项目那边说好了。”

魏成安立刻说：“我没有让你拷客户部署包。”

“你跟我说的是把顾工电脑里的项目文件拿出来。”郭启明的声音发紧，“你说访客权限都开好了。”

会议室里没有人拍桌子，也没有谁当场宣布结论。法务让他把过程写下来，明确区分自己亲眼做的、别人告诉他的和他猜测的内容。郭启明在一旁坐了很久，最后把那份说明签了字。

当天中午，公司成立了审查小组。魏成安被暂时停止审批权限，接受调查。事情没有像传言里说的那样，一小时就定了案。一个小时后，他确实被老板叫进了办公室，但那只是管理层开始处理的时间，不是所有调查都结束的时间。

接下来的几天，我配合信息部对镜像做核查。日志里能确认访客账号访问过哪些目录，系统里能确认权限是谁批准的；但有些外部连接是否传输了完整文件，还需要核对出口记录和备份。审查小组没有让我替他们下结论，我也没有把没核实的事说成事实。

郭启明很快从测试岗位调离，等待公司进一步处理。他没有再来我工位借电脑。魏成安的审批权限一直没有恢复。

一周后，公司通知我，内审确认权限调整由魏成安本人批准，郭启明按指示导出项目资料，远程访问工具也不是公司标准软件。公司依据调查结果解除魏成安的职务和劳动关系，并把涉及客户资料的部分交由法务继续处理。至于外部连接到底造成了多大影响，公司没有对全体员工公开细节。

我没有去问魏成安后来怎么样，也没有把这件事写成“我一个人扳倒了谁”。老板后来找我谈过一次，说当初他没有想到权限审批会被这样使用，也承认那套审批流程太依赖个人确认。

我说：“流程得改。以后借开发机，不能只开个访客账号就算完。”

信息部后来把借用流程改成了临时测试环境。需要访问项目文件，必须由项目负责人确认范围；需要导出，必须留下用途和去向；开发机借出前后，都要登记设备和账号。我的工作站也重新纳入受控终端管理。

有同事问我：“你当时不怕得罪魏总？”

我说怕。谁说不怕是假的。那天我坐在电脑前，看着一行行访问记录，想的就是自己还要不要在这家公司干下去。可如果因为怕得罪人，就把一件可能影响客户和团队的事压下去，出了问题后，最先被问责的人也许还是我。

那台工作站后来一直留在我工位上。它没有变成什么特殊纪念品，也没有继续装我私人的监控程序。公司重新配置了审计工具，权限和日志都归信息部管理。我只保留必要的个人开发环境，借用时先建隔离账号。

郭启明调岗后，有一次在茶水间碰见我。他犹豫了很久，说：“顾哥，对不起。我那时候觉得魏总说了就算是公司安排，没想清楚。”

我看着他：“你拿的是自己的账号，按的是自己的键盘。别人让你做，不等于你不用负责。”

他低下头，说会记住。

我没有和他握手，也没有再追着责怪他。之后我们在工作上仍会碰见，能沟通的就沟通，能合作的就按流程合作。信任没有因为一句道歉立刻回来，但边界重新立住了。

那次重装系统，我花了一个小时恢复工作环境。也是那一个小时里，公司开始核查魏成安的审批、郭启明的操作，以及一台开发机上发生的异常访问。

后来有人说，我是因为机器突然变快才看穿了所有事。其实不是。电脑变快只是让我停下来多看了一眼。真正让事情往前走的，是日志里那些能核对的时间，是我没有把推测当结论，也是我把材料交给了该处理的人。

我到现在还记得，重装进度条停在最后一点的时候，会议室里有人问我为什么不早说。

我当时答得不够好。应该更早向直属经理报告，但我不后悔先隔离设备、保存原始记录，也不后悔没有私下找魏成安谈条件。

同事借电脑后，机器异常流畅；我立即重装系统；一个小时后，技术总监被叫去接受调查。后来他被公司开除，不是因为电脑变快，也不是因为我一句话，而是因为权限记录、访问日志和调查结论拼在了一起。

我不过是把那台电脑上发生的事，按它发生的样子交了出去。