Ustalenia biegłych Agencji Bezpieczeństwa Wewnętrznego
Prokuratura Krajowa opublikowała kluczowe ustalenia z opinii biegłych Agencji Bezpieczeństwa Wewnętrznego dotyczących bezpieczeństwa i funkcjonalności systemu Pegasus. Zarządzeniem z 26 sierpnia 2026 roku Prokurator Generalny częściowo zniósł klauzulę ściśle tajne z tych dokumentów. Biegli wydali trzy opinie: częściową 18 kwietnia 2025 roku, końcową 29 czerwca 2026 roku oraz uzupełniającą 13 lipca 2026 roku, co poprzedziły oględziny w siedzibie CBA i analiza dokumentacji.
Eksperci przeanalizowali kwestię funkcjonowania oprogramowania szpiegowskiego, wskazując, że technologia ta pozwalała na czerpanie obfitych zasobów informacji z telefonów wyposażonych w systemy Android oraz iOS w sposób całkowicie niezauważalny dla ich posiadaczy. Oprogramowanie zapewniało dostęp do wiadomości SMS, MMS, e-mail oraz korespondencji z komunikatorów, a także do historii połączeń, kontaktów, kalendarza, danych lokalizacyjnych oraz zdjęć i filmów.
Pegasus pozwalał również na zdalne uruchamianie mikrofonu oraz kamer w celu rejestrowania obrazu i dźwięku w czasie rzeczywistym, wykonywanie zrzutów ekranu oraz pozyskiwanie wiadomości wysłanych przed rozpoczęciem kontroli, o ile nadal znajdowały się na urządzeniu.
Biegli ustalili, że Centralne Biuro Antykorupcyjne nie miało pełnej kontroli nad funkcjonowaniem oprogramowania. Służba nie posiadała haseł dostępowych do części kont administracyjnych, a moduł infekujący pozostawał pod wyłączną kontrolą prywatnej izraelskiej firmy będącej producentem. Dane przesyłane w formie zaszyfrowanej opuszczały terytorium Polski za pośrednictwem globalnej sieci serwerów zarządzanej przez producenta i pozostającej poza kontrolą CBA.
Producent oprogramowania posiadał techniczną możliwość dostępu do infrastruktury i materiałów z kontroli operacyjnych podczas zdalnych aktualizacji oraz wsparcia technicznego, choć biegli zaznaczyli, że opinie nie przesądzają, czy taki dostęp faktycznie uzyskano do konkretnych kontroli. Zastosowane rozwiązania nie gwarantowały bezpieczeństwa danych, a brak dostępu do elementów infrastruktury uniemożliwiał służbom niezależną weryfikację procesów przesyłania i przechowywania informacji.
Reakcja rządu oraz zapowiedzi komisji śledczej
Totalne narzędzie cybernetycznej inwigilacji, wyprodukowane przez izraelską firmę, co do której współpracy oczywiście ze służbami izraelskimi nikt nie ma wątpliwości
Czy to możliwe, że państwo traci kontrolę nad własnym systemem inwigilacji? I to nie była stara konsola… Z opinii biegłych ABW wynika, że CBA kupiło narzędzie, nad którym nie miało pełnej kontroli. Dane opuszczały Polskę, moduł infekujący kontrolował producent, a zagraniczna firma miała techniczny wgląd w materiały operacyjne. To nie była walka z przestępczością. To było narażenie bezpieczeństwa Rzeczypospolitej. Byli szefowie CBA, ABW i SKW mają już postawione zarzuty. Czas na pełną odpowiedzialność przed sądem
W poniedziałek w południe sejmowa komisja śledcza do spraw Pegasusa ma zaprezentować jawną część swojego raportu podsumowującego prace trwające ponad dwa lata. Liczący około 700 stron dokument obejmuje kwestie zakupu, legalności oraz sposobu wykorzystywania systemu. Przewodnicząca komisji Magdalena Sroka zapowiedziała skierowanie kolejnych zawiadomień do prokuratury oraz wskazała, że system był wykorzystywany bez wymaganej akredytacji państwowej.
Postępowanie i zarzuty dla siedmiu osób
Śledztwo w sprawie stosowania oprogramowania Pegasus wszczęto 18 marca 2024 roku i podzielono na trzy główne wątki dotyczące legalności kontroli, sposobu wykorzystania informacji oraz bezpieczeństwa systemu. Do tej pory zarzuty usłyszało siedmioro podejrzanych. W gronie tym znaleźli się między innymi byli szefowie kluczowych służb: Ernest B. z CBA, Piotr P. z ABW oraz Maciej M. z SKW, którym zarzucono niedopełnienie obowiązków i dopuszczenie do korzystania z systemu bez wymaganej akredytacji bezpieczeństwa teleinformatycznego.