Pegasus umożliwiał dostęp do wiadomości, rozmów, zdjęć i lokalizacji użytkowników telefonów, a przesyłane dane opuszczały Polskę – wynika z opinii biegłych Agencji Bezpieczeństwa Wewnętrznego. Prokuratura Krajowa ujawniła część ustaleń dotyczących bezpieczeństwa systemu wykorzystywanego przez CBA.
- Pegasus pozwalał na pozyskiwanie szerokiego zakresu danych z telefonów, także bez wiedzy i zgody ich użytkowników.
- CBA nie miało pełnej kontroli nad systemem, a jego producent mógł technicznie uzyskać dostęp do materiałów z kontroli operacyjnych.
- W śledztwie dotyczącym Pegasusa zarzuty przedstawiono siedmiu osobom.
Prokuratura Krajowa poinformowała w poniedziałek o ustaleniach biegłych z Biura Badań Kryminalistycznych Agencji Bezpieczeństwa Wewnętrznego dotyczących funkcjonalności i bezpieczeństwa systemu Pegasus. Opinie powstały w ramach śledztwa prowadzonego przez Zespół Śledczy nr 3 Prokuratury Krajowej.
Z ustaleń ekspertów wynika, że oprogramowanie mogło być instalowane na urządzeniach z systemami Android i iOS bez wiedzy i zgody ich użytkowników. Umożliwiało dostęp do wiadomości SMS i MMS, korespondencji e-mail oraz treści z komunikatorów internetowych.
System pozwalał również na pozyskiwanie historii połączeń, treści rozmów telefonicznych, kontaktów, kalendarza, historii przeglądania stron, zdjęć, filmów i dokumentów. Możliwe było także ustalanie lokalizacji urządzenia, w tym na podstawie danych GPS.
Co istotne, Pegasus umożliwiał dostęp również do wiadomości wysłanych i odebranych przed rozpoczęciem kontroli operacyjnej, o ile nadal znajdowały się na urządzeniu. Oprogramowanie pozwalało ponadto na zdalne uruchamianie mikrofonu i kamer oraz wykonywanie zrzutów ekranu.
CBA nie miało pełnej kontroli nad systemem
Wątpliwości biegłych dotyczyły również bezpieczeństwa infrastruktury wykorzystywanej do obsługi Pegasusa. Według opinii CBA nie posiadało haseł do części kont administracyjnych, a niektóre elementy systemu pozostawały pod kontrolą jego producenta, prywatnej izraelskiej firmy. Serwer odpowiedzialny za infekowanie urządzeń mobilnych miał pozostawać pod wyłączną kontrolą producenta.
Czytaj także: Patrole pod szkołami niczego nie zmienią. Prawdziwy problem dzieci ignorujemy od lat
Eksperci ustalili także, że dane pozyskiwane przez system opuszczały terytorium Polski. Były przesyłane za pośrednictwem sieci anonimizującej, obejmującej serwery w różnych częściach świata. Siecią zarządzał producent, a CBA nie sprawowało nad nią kontroli.
Producent miał ponadto techniczną możliwość dostępu do materiałów z kontroli operacyjnych podczas zdalnego wsparcia technicznego i aktualizacji oprogramowania. W tym czasie prowadzone kontrole nie były wstrzymywane. Biegli zastrzegli jednak, że ich opinie nie przesądzają, czy producent rzeczywiście uzyskał dostęp do materiałów z konkretnych kontroli.
Trzy opinie biegłych w śledztwie
Ekspertyzy sporządzono na podstawie analizy obszernej dokumentacji oraz oględzin systemu w siedzibie CBA. Biegli wydali trzy opinie: częściową 18 kwietnia 2025 r., końcową 29 czerwca 2026 r. i uzupełniającą 13 lipca 2026 r. Początkowo wszystkie były objęte klauzulą „ściśle tajne”. 26 sierpnia 2026 r. Prokurator Generalny częściowo zniósł klauzulę tajności z wybranych fragmentów.
Czytaj także: W nocy PKW podała oficjalne wyniki. Rano Gibała ruszył na ulice Krakowa
Śledztwo wszczęto 18 marca 2024 r. Dotyczy podejrzenia przekroczenia uprawnień i niedopełnienia obowiązków przez funkcjonariuszy publicznych w związku ze stosowaniem Pegasusa. Postępowanie obejmuje legalność kontroli operacyjnych, sposób pozyskiwania i wykorzystywania informacji oraz bezpieczeństwo i funkcjonalność systemu.
Zarzuty dla siedmiu osób
Jak podała Prokuratura Krajowa, zarzuty przedstawiono siedmiu osobom. Wśród nich są byli szefowie CBA, ABW i SKW, którym zarzucono niedopełnienie obowiązków w związku z wykorzystywaniem systemu bez wymaganej akredytacji bezpieczeństwa teleinformatycznego i zapewnienia odpowiedniej ochrony informacji niejawnych.
Może zainteresuje Cię także: