CBA nie miało pełnej kontroli nad Pegasusem. Kluczowe ustalenia biegłych

CBA nie miało pełnej kontroli nad funkcjonowaniem systemu Pegasus, producent oprogramowania mógł uzyskać dostęp do infrastruktury, na której przetwarzano i przechowywano materiały z kontroli operacyjnych, a dane przesyłane przez system opuszczały terytorium Polski. Takie są ustalenia biegłych z Agencji Bezpieczeństwa Wewnętrznego w śledztwie ws. Pegasusa prowadzonym przez Prokuraturę Krajową.

Pegasus mógł być instalowany w urządzeniach mobilnych bez wiedzy użytkownika /Shutterstock

Prokuratura Krajowa poinformowała o ustaleniach biegłych z ABW w śledztwie ws. systemu Pegasus. Wynika z nich, że CBA nie miało pełnej kontroli nad systemem Pegasus. „CBA nie posiadało haseł dostępowych do części kont z uprawnieniami administracyjnymi, a niektóre elementy systemu pozostawały pod kontrolą producenta oprogramowania (prywatnej izraelskiej firmy)” – czytamy w komunikacie Prokuratury Krajowej. Jak podkreślono, moduł serwera odpowiedzialnego za infekowanie urządzeń mobilnych pozostawał pod wyłączną kontrolą producenta.

Ponadto biegli z ABW ustalili, że dane przesyłane przez system Pegasus opuszczały terytorium Polski. Przesyłano je za pośrednictwem tzw. sieci anonimizującej, obejmującej serwery znajdujące się w różnych częściach świata. Sieć ta była zarządzana przez producenta systemu i pozostawała poza kontrolą CBA. Biegli ujawnili zagraniczne adresy IP wykorzystywane przez system do przesyłania danych.

Co więcej, jak ustalili biegli z ABW, producent systemu Pegasus miał techniczną możliwość dostępu do materiałów z kontroli operacyjnych. „Wsparcie techniczne i aktualizacje odbywały się za pomocą zdalnego połączenia. Podczas tych prac prowadzone kontrole operacyjne nie były wstrzymywane, a producent uzyskiwał pełen dostęp do systemu, w tym możliwość dokonywania zmian w jego oprogramowaniu i konfiguracji” – napisano.

Co oznaczają te ustalenia?

W komunikacie prokuratury podkreślono, że opinie biegłych nie przesądzają, czy producent faktycznie uzyskał dostęp do materiałów pochodzących z konkretnych kontroli operacyjnych.

Prokuratura informuje, że takie rozwiązania nie gwarantowały pełnego bezpieczeństwa systemu i pozyskiwanych danych. 

„Brak dostępu do części elementów systemu uniemożliwiał CBA pełną kontrolę nad jego działaniem oraz niezależną weryfikację procesów pozyskiwania, przesyłania i przechowywania danych” – stwierdzono.

Pegasus instalowany bez wiedzy użytkownika

Jak podkreślono w komunikacie, system Pegasus mógł być instalowany w urządzeniach mobilnych (głównie telefonach) z systemami Android i iOS bez wiedzy i zgody użytkownika. Umożliwiał dostęp do całości lub części danych zapisanych na urządzeniach, m.in. SMS-ów, MMS-ów, mali, zdjęć, filmów, wiadomości z komunikatorów.

Ponadto Pegasus pozwalał na wykorzystywanie mikrofonu i kamer wbudowanych w urządzenie do rejestrowania dźwięku i obrazu w czasie rzeczywistym oraz wykonywanie zrzutów ekranu.

Śledztwo w sprawie Pegasusa, 7 osób z zarzutami

Od 18 marca 2024 r. trwa śledztwo dotyczące podejrzenia przekroczenia uprawnień i niedopełnienia obowiązków przez funkcjonariuszy publicznych w związku ze stosowaniem oprogramowania Pegasus. Śledztwo obejmuje przede wszystkim trzy wątki: legalność kontroli operacyjnych, sposób pozyskiwania i wykorzystywania informacji oraz bezpieczeństwo i funkcjonalność systemu Pegasus.

Do tej pory zarzuty przedstawiono 7 osobom:

• Ernestowi B. (były szef CBA), Piotrowi P. (były szef ABW) i Maciejowi M. (były szef SKW) – zarzuty niedopełnienia obowiązków w związku z dopuszczeniem do wykorzystywania Pegasusa bez wymaganej akredytacji bezpieczeństwa teleinformatycznego i zapewnienia wymaganej ochrony informacji niejawnych.
• Danielowi K. (były zastępca szefa CBA) – zarzut bezprawnego przekazania materiałów z kontroli operacyjnej Romana Giertycha, w tym informacji objętych tajemnicą adwokacką i obrończą.
• Jarosławowi W. (były dyrektor Delegatury CBA w Warszawie), Katarzynie S. (była naczelnik Wydziału I Operacyjno-Śledczego Delegatury CBA w Warszawie) i Angeli P. (ekspertka tego wydziału) – zarzuty doprowadzenia do bezpodstawnych kontroli operacyjnych, nieuprawnionego pozyskiwania danych oraz wprowadzania w błąd prokuratora i sędziów.
  Śledztwo jest kontynuowane.

Dziś poznamy jawną część raportu komisji śledczej ds. Pegasusa

Dziś sejmowa komisja śledcza ds. Pegasusa przedstawi jawną część raportu dotyczącego zakupu, legalności i sposobu wykorzystywania tego systemu. Dokument będzie liczył ok. 700 stron i obejmie część jawną oraz niejawną. 

Według przewodniczącej komisji Magdaleny Sroki jednym z ustaleń komisji jest to, że Pegasus był wykorzystywany bez wymaganej – w jej ocenie – akredytacji, czyli bez gwarancji państwa, a zebrane systemem materiały znajdowały się w dyspozycji izraelskiego producenta. Sroka zapowiedziała też kolejne zawiadomienia do prokuratury.