Den fjärde rapporten

Hon lämnade Skellefteå klockan halv sex. Bilen var täckt av ett tunt lager rimfrost och himlen hade den färg som inte är natt och inte morgon, utan något emellan. Maya skrapade rutan med körkortet eftersom isskrapan låg i bagageluckan och hon ville inte stanna. Hotellet låg fortfarande mörkt bakom henne. Det vikta papperet från nattduksbordet hade hon stoppat i jackfickan utan att vidröra det med fingertopparna mer än nödvändigt. Sluta fråga om Aurelius. Be Henrik göra detsamma.

E4:an norrut var nästan tom. En lastbil med dansk registreringsskylt körde om henne strax efter Byske och hon släppte gasen för att inte ligga bakom den länge. Radion gav nyheter i halvtimmesintervaller. Källor i Köpenhamn beskrev hur Danmark förberett sig på ett möjligt angrepp från USA, sade rösten i högtalaren, lugnt som om det var ett vädervarsel. Hon vred upp värmen ett snäpp och tänkte att rösterna i radio numera lät som meteorologer även när de läste krig.

Hon parkerade vid Luleå tekniska universitet en kvart över åtta. Huvudbyggnaden låg som en lång låda av betong och glas mot Porsön. På väg in noterade hon ingångarna utan att tänka, två huvudentréer, en tjänsteingång åt öster, två brandutgångar synliga från receptionen. Boden 2018 satt fortfarande i ryggraden.

Cybersäkerhetsavdelningen låg på fjärde våningen. Hissen luktade torrt papper och städmedel. Erik Sandström tog emot henne i ett kontor med utsikt över parkeringen och en skiva av älven. Han var i Mayas ålder, mörkt skägg som var rakat halvhögt på halsen, och han log inte när hon presenterade sig.

– Jag hade inte väntat mig MCF den här veckan, sade han. Det stod inte i kalendern.

– Det är inget formellt besök.

Hon la ut två papper på hans skrivbord. Det första var SEC-utdraget med Aurelius Holdings II och adressen i Wilmington Delaware som hon redan hade visat Tegström dagen innan. Det andra var en utskrift från regeringens hemsida om en satsning på 5,5 miljarder på Luleå tekniska universitet, ett tidsspann över sex år, infrastruktur, AI, cybersäkerhet. Pressmeddelandet hade gått ut i förra veckan.

Sandström tittade på det första papperet längre än det andra.

– Ni har följt pengarna, sade han till slut.

– Ni känner till dem.

– Vi känner till en delfinansiär. Inte huvudmannen.

Hon antecknade delfinansiär i kanten av blocket och drog en cirkel runt det. Sandström drog stolen närmare. Han hade ingen kaffekopp på bordet, vilket sade henne något i sig.

– Vi har en post som heter externa partners i forskningsbudgeten, sade han. Den posten har vuxit varje år sedan 2023. Vi får aldrig diarieföra den i klartext. Det är tre led av holdingbolag mellan oss och pengen.

– Och Aurelius är ett av leden.

– Aurelius är det sista vi kan se. Vad som ligger bakom är inte vår sak att utreda, säger juristerna.

Han sade säger juristerna med samma tonfall som Tegström hade haft när han bad om sin egen jurist dagen innan. Hon hörde samma replik två gånger på två dygn av två män som inte kände varandra, vilket var en skriven instruktion snarare än ett sammanträffande.

Hon la fram det tredje papperet. En utskrift hon hade gjort på hotellet samma morgon, ett par minuter innan hon paketerade. Sveriges Radios webb. Polisen varnade för att unga i Sverige kontaktats för våldsdåd åt Iran. Sårbarheter, stod det. Personer i ekonomisk knipa, personer i utkanten av ett sammanhang.

– Varför visar ni mig den här? sade Sandström.

– För att jag tror att samma sorts sårbarhet kartläggs här. Inte hos enskilda personer. Hos system.

Han svarade inte direkt. Han reste sig och stängde dörren mot korridoren, varsamt, som om han ville höra om någon stod där och försökte lyssna. Sedan satte han sig igen och såg först på Aurelius-papperet, sedan på henne.

– Vår avdelning fick ett uppdrag i höstas, sade han. Det kom via vicerektor och ett konsultbolag i Stockholm som heter Nordvist Communications.

Hon kände namnet i magen som ett slag.

– Uppdraget gick ut på att göra en kartläggning av kommunala IT-systems sårbarheter. Stickprov i 28 kommuner. I praktiken en sårbarhetsbild, även om det var formulerat som forskning. Vi skrev under.

– Vart tog rapporten vägen?

– Till finansiärerna.

– Till Aurelius.

– Till någon de pekade ut.

Hon la pennan ner. Korridoren utanför var helt tyst, som ett arkiv. Värmesystemet brusade lågt i taket. Rapporten han talade om var samma sorts paket som låg ute på darknet sedan i höstas. Hela paket från statliga myndigheter, hade Henrik sagt. Inte bara läckage utan beställningsarbete.

– Vem signerade beställningen från er sida? frågade hon.

– Vicerektor.

– Och vicerektorn fick förfrågan från?

Sandström drog en lång inandning genom näsan. Han hade fattat samma slags beslut som Kovalik hade fattat innan dörren öppnades i Trelleborg.

– Från en byrå i Washington, sade han. De kallade sig en stiftelse för transatlantisk teknologiforskning. Koden i mejlen kom från en server i Virginia.

Hon skrev Virginia i marginalen och ringade in det två gånger. Tegströms amerikanska samtal kvällen innan hade haft områdeskod 703. Hon hade inte kontrollerat det på kartan men kände nu i ryggraden att det var samma postnummerruta som Sandström pekade på.

Hon reste sig och gick fram till fönstret. Älven låg som en grå hinna under låghimlen. Bakom henne hörde hon Sandström skjuta ut en låda i skrivbordet och stänga den igen.

– Det jag inte har sagt, sade han bakom hennes rygg, är att rapporten vi gjorde i höstas inte var den första.

Hon vände sig om.

– Den var den fjärde i ordningen. De tre tidigare är gjorda av tre andra svenska lärosäten. Det är samma frågeformulär varje gång. Och det är inte sårbarheterna i kommunerna som är det intressanta längre.

– Vad är det som är det intressanta?

Han la handen på papperna på skrivbordet. Han tryckte ihop dem med tummen som om han ville hålla dem stilla.

– De vill veta vilka av oss som vägrar att svara, sade han.