Уточнение, чтобы не оставлять в чате пере-уверенный вывод: «ключ такой-то = он и переписал» — это по-прежнему сильная версия, а не доказанный факт.
Что проверила дальше: за полторы минуты наблюдения на сервере ни одного процесса передачи файлов (rsync/scp/sftp) не поймано, хотя подключения с того ключа идут дважды в минуту. Значит по логу видно только «кто заходит», а не «кто пишет» — а это разные вещи. Ровно та же ошибка, что я уже сделала дважды сегодня, просто на шаг дальше.
Поэтому поставила ловушку: пометка в нерабочем файле каталога (сервис его не трогает) плюс наблюдатель, который в момент, когда пометка исчезнет, снимет список процессов и хвост системного лога. Тогда писателя можно будет назвать замером, а не рассуждением.
На работу это не влияет: витрина живёт на посреднике, данные на месте. Вопрос владельцу эталона отправлен и от результата ловушки не зависит.