上个月我在一个客户的会议室里，经历了一次让我至今记忆犹新的检测。对方是一家准备IPO的科技公司，财务数据、业务模型、募资用途都已经到了最后定稿阶段。保荐机构要求他们做一次全面的信息安全审计，其中包括对办公环境的安全排查。
会议室在这家公司的核心位置，是一个接近一百平方米的大空间，用于召开董事会、战略会和投资人路演。吊顶是那种很常见的轻钢龙骨石膏板，上面均匀分布着六组水晶吊灯和十来个筒灯。天花板的石膏板被喷成了和墙面一样的暖白色，整体看起来非常干净规整。
技术人员先把频谱仪架起来做全频段扫描。会议室里各种WiFi信号、蓝牙信号、无线鼠标键盘的信号混在一起，频谱图上密密麻麻的。我们的技术人员花了将近四十分钟，把这些背景信号一个一个过了一遍，确认每一个都能对应到具体的正常设备。首要轮扫描结果是干净的。
但是做检测的人有个习惯：扫完了不代表结束了，要换一个思路再扫一遍。第二轮我们用的是更窄的频段扫描模式，配合定向天线，从低频到高频慢慢地调。在调整到某个特定频段的时候，频谱仪上出现了一组非常微弱的调频信号。这个信号的频率和标准的调频广播频段很接近，但调制方式有明显差异，更像是某种模拟音频信号的无线传输。
技术人员开始用定向天线定位。信号较强的地方在会议室中央偏左的位置，正上方正好是一组水晶吊灯。搬来梯子上去检查，拆开吊灯的主装饰罩，在支架的金属管内部找到了一个圆柱形的窃听器。它的直径和吊灯金属支架的内径几乎一致，外表被涂成了和金属管相同的拉丝银色，从支架底部塞进去之后，几乎看不出来金属管里多了一段东西。
窃听器的一端是一个微型麦克风，朝向吊灯下方的会议桌方向；另一端是一个射频发射模块，通过一根极细的天线从吊灯支架的一个工艺孔伸出来，藏在吊灯装饰水晶的间隙里。电源来自一组三节七号电池，串联供电，估计续航能力在两到三周左右。
这个装置的设计思路非常巧妙。它利用了吊灯金属支架作为天然的保护壳和伪装层，外加那根天线藏在水晶装饰里，即使有人站在吊灯下面抬头看，也完全看不出任何异常。而且它的安装不需要对会议室做任何明显的结构改动——只要在安装吊灯的时候顺便把窃听器塞进去就行了。考虑到这间会议室建成使用已经一年半，这个窃听器可能在这间屋子里待了同样长的时间。
是谁装的？我们后来试图排查，但没有结论。可能是在装修阶段混进工地的第三方安装人员，也可能是某次大型会议结束后趁保洁时段混进来的。最让人不安的是，根本不需要是专业人士，只要有几分钟单独在会议室里的时间，以及一把内六角扳手，就能完成安装。
这个案例让我经常用来跟客户解释一个事实：会议室是商业窃听的高发区，但恰恰是会议室的安全防护最容易被忽视。很多人以为开会的时候把门锁上、把手机放在外面、拉上窗帘，就安全了。但决定会议室安全水平的不是你进门之后的那些动作，而是那间屋子在没有人的时候有没有被安装过窃听器。一间每天都有不同人员进出的共享空间，如果从来没有做过防窃听检测，那它的安全状态就是一个完全的未知数。
那次检测结束后，那家公司的CEO私下跟我说了一句话。他说他在这间会议室里开过至少两百场重要会议，有大大小小的投资机构来做过路演，也有律所、审计师、券商在这里讨论过公司的核心财务数据。他说他不知道那个藏在吊灯里的东西到底录了多少内容、传给了谁，但他确定的是，从今天开始，他会把环境安全检测和窃听器检测作为所有重要会议的前置流程。
再高级的装修、再先进的门禁系统，都不能代替一次实实在在的环境安全检测。那组水晶吊灯现在仍然挂在那间会议室的天花板上，每次开会的时候还是照常亮着。但坐在下面的人变了——他们不再只是低头看材料，而是偶尔抬头看看那盏灯，知道它是安全的。
