2024年3月17日晚上十一点半，中国中国石油甘肃销售分公司信息运维岗的石油神秘李伟（化名）盯着屏幕上跳出的那条登录记录，手里的甘肃烟烧到了滤嘴。系统日志里清清楚楚写着一个账号：GS_OP_0091，人登登录IP归属地是中国酒泉市肃州区某基站，时间是石油神秘当晚22:47。问题是甘肃，这个账号三天前就被注销了。人登

他翻了一下权限变更记录。中国3月14日上午，石油神秘分公司人力资源部提交了离职人员账号清理清单，甘肃GS_OP_0091对应的人登是原酒泉片区运维员赵某。当天下午五点半，中国李伟亲手执行了禁用操作，石油神秘系统也返回了成功状态。甘肃可三天后，这个"死人账号"不仅活了，还成功登录了两次。第一次在22:31，持续了47秒；第二次在22:47，持续了将近六分钟。

这不是孤例。

李伟把日志往前翻了两周，发现另外两个已注销账号也有类似痕迹——GS_OP_0043和GS_OP_0077，分别属于去年底和今年初离职的两名员工。登录时间都集中在晚上十点到凌晨一点之间，每次在线时长不超过十分钟，操作记录显示只访问了库存查询和配送单导出两个模块。数据量不大，但频率很规律，几乎每隔三天就出现一次。

他先怀疑是系统缓存问题。甘肃销售分公司的ERP系统是2021年上线的，中间经历过两次大版本升级，旧账号的会话令牌有时候会残留在Redis缓存里没被清干净。但李伟查了缓存日志，这三个账号的token在禁用当天就被主动删除了，不存在残留。

那就是有人手动恢复了账号权限。

能操作这一步的，全甘肃分公司不超过五个人。李伟自己算一个，信息运维组组长算一个，剩下的三个都在兰州总部。他给组长打了个电话，对方沉默了几秒说："你先别声张，把日志导出来，明天到办公室再说。"

第二天上午，李伟把三份登录日志打印出来摊在桌上。组长看了一遍，指着GS_OP_0091那条说："你看这个IP，肃州区基站，但赵某离职后去了张掖，他不可能在酒泉登录。"他又翻到操作记录那一页："库存查询和配送单导出，这两个模块正好是酒泉片区配送调度的核心数据。有人想知道酒泉的油品库存和配送路线。"

两人对了一下权限变更审批表，发现一个细节：三次账号恢复操作，审批流程里都有一个"系统自动通过"的标记，操作人ID显示为SYS_ADMIN。这是系统内置的超级管理员账号，理论上不对外开放，密码由总部信息中心每季度更换一次。

李伟查了SYS_ADMIN的登录记录，发现它在3月14日到3月17日之间，从兰州总部机房IP登录了四次，每次都在凌晨。而那个时间段，总部机房正在做数据库迁移，按计划不应该有人远程操作。

他把这个发现报给了总部安全审计部门。三天后，调查结果出来了：SYS_ADMIN的密码在2月底的一次外部渗透测试中被泄露，测试方是总部委托的第三方安全公司，但测试报告里没提这个漏洞。有人利用这个密码，在数据库迁移期间创建了临时后门，专门恢复已注销的运维账号，用来窃取酒泉片区的配送数据。

谁干的？调查没有公布最终结论。李伟只知道，4月初的时候，酒泉片区突然换了配送调度系统的供应商，原来的那家被终止了合同。而那个第三方安全公司的项目经理，据说在3月底就离职了。

李伟后来把这件事写进了内部安全简报，但只发了运维组内部。他在结尾加了一句话："系统里没有真正的死人，只有没被盯住的活人。"

现在他每天晚上都会看一眼登录日志。那个GS_OP_0091再也没出现过。但他知道，只要SYS_ADMIN的密码还在某个地方流转，下一个"神秘人"随时可能上线。