陈三明每天晚上十点做一件事——查日志。
不是b账户的交易日志，那个罗文会看。他查的是系统日志。服务器访问记录、通道连接状态、ApI调用频次、异常登录尝试。这些东西就像一栋大楼的监控摄像头，谁进过门、走的哪个门、待了多久，全在里面。
这个习惯是他从盛元带出来的。在盛元的时候他管整个交易系统的安全，每天晚上雷打不动查一遍日志。老板觉得他多此一举——谁会黑一个私募的交易系统？陈三明说不见得。结果第二年就有一个竞争对手试图入侵盛元的服务器盗取持仓数据，幸亏他提前装了入侵检测系统，对方没得手。
老板当天给他发了两万块奖金。
现在奖金没了，老板也没了，但习惯还在。
今晚的日志有点不对劲。
陈三明盯着屏幕上的一行记录看了五秒钟，眉头皱了起来。
访问来源：未知Ip。访问时间：今晚八点十七分。访问目标：明远投资咨询公司的工商注册信息页面。
这条记录本身不奇怪。明远是新注册的公司，工商信息是公开的，任何人都能查。奇怪的是访问路径——这个Ip不是通过工商局官网查的，是通过一个第三方企业信息查询平台查的。而且查的时候用的关键词不是明远投资咨询陈三明。
有人在搜他的名字。
陈三明把鼠标停在这行记录上，手指不动了。
搜他名字的人会是谁？正常的商业合作不会这么查——合作方查公司信息看的是注册资本、经营范围、股东结构，不会搜某个具体的人。搜人名只有两种情况：要么是认识他的人在找他的公司，要么是不认识他的人在查他的底细。
他点开了那个Ip的详细信息。归属地：上海。网络类型：宽带。运营商：电信。
再往下查，这个Ip绑定的宽带账户注册在浦东某小区——离他住的地方不到三公里。
不对。
陈三明的心跳快了半拍。他住的地方没有对外公开过。明远的注册地址是一个挂靠的商务秘书公司，跟他个人没有任何关联。他的名字在工商系统里能查到——他是明远的股东之一——但要查到这层关系，得先知道明远这家公司存在，然后在股东列表里找到他。
谁会这么做？
陈三明拿起手机想给罗文打电话，又放下了。
不能每个屁大的事都找罗文。罗文负责交易，他负责安全。各管一摊。如果连一个可疑Ip都要汇报，那他要这个技术合伙人干什么？
他回到电脑前，开始挖。
第一步：追这个Ip的历史访问记录。第三方企业信息查询平台一般会记录用户的搜索历史——不是公开的，但陈三明有办法拿到。他写了一个小程序，通过平台的ApI接口反向查询这个Ip在过去三十天内的所有搜索行为。
结果出来了。
过去三十天，这个Ip一共发起了十七次搜索。其中十一次是查企业信息，六次是查人员信息。
企业信息包括：明远投资咨询有限公司、前海盛达科技有限公司。
陈三明的手停了。
前海盛达科技。那是他注册的壳公司，用来挂A账户的通道。这家公司除了他和他表弟之外，没有任何人知道。
有人在查他的壳公司。
他感到一阵冷意从后背升上来。不是恐惧，是警觉。他在盛元处理过无数次安全事件，每一次都是从一条不起眼的日志开始。黑客不会一开始就大举入侵，他们会先侦察——扫端口、查域名、搜信息。就像小偷踩点，先看看你家住几楼、锁什么牌子、几点没人。
现在有人在踩他的点。
他继续看。人员信息搜索包括：陈三明罗文齐小白。
三个人的名字全被搜过了。
陈三明深吸一口气，强迫自己冷静下来。他把搜索记录按时间排序，发现第一次搜索是三天前，搜的是明远投资咨询。之后每隔几小时搜一次，逐步从公司名扩展到股东名，再到关联公司。
这不是随机搜索。这是系统性的背景调查。有人在挖他们。
第二步：定位这个Ip背后的实体。
宽带Ip绑定的是浦东某个小区的电信用户。陈三明没有权限直接调电信的用户数据库——那是违法的。但他不需要。他有另一种方法。
他打开了搜索引擎，输入了这个Ip地址。搜索结果里没什么有用的——Ip查询网站显示的是浦东的地理位置信息，没有具体地址。
但陈三明注意到一个细节。这个Ip在某个技术论坛上的历史发帖记录显示，使用这个Ip的人曾经在论坛上问过一个问题：如何通过企业工商信息查询平台批量导出股东关联关系？
发帖时间是五天前。比第一次搜索明远早两天。
也就是说，这个人在搜他们之前，先学习了怎么搜。这是个有准备的人，不是随手一查。
陈三明继续翻这个论坛账号的发帖历史。帖子不多，但每一条都跟数据挖掘有关——怎么查企业关联关系、怎么用爬虫批量抓取工商信息、怎么通过Ip反查服务器物理地址。
最后一条帖子让陈三明的瞳孔缩了一下：如何绕过券商交易系统的Ip白名单机制？
有人在研究怎么黑进券商的交易系统。
陈三明看着这条帖子想了想。发帖人的语气是外行求教的，不是技术人员之间的讨论。说明这个人自己不懂技术，但他在找懂技术的人。
这比他自己懂技术更危险。一个懂技术的操盘手只是麻烦，一个有资源雇佣技术人员的操盘手是威胁。
他没有犹豫了。拿起手机拨了罗文的电话。
罗哥，有人查我们。
电话那头安静了两秒。什么意思？
有人在过去三天里系统性地搜索了明远、前海盛达、还有咱们三个人的名字。搜索来源是浦东的一个宽带Ip。