„Rewelacja ostatnich godzin”. Tusk o najnowszych ustaleniach ws. Pegasusa

CBA nie miało pełnej kontroli nad funkcjonowaniem systemu Pegasus, producent oprogramowania mógł uzyskać dostęp do infrastruktury, na której przetwarzano i przechowywano materiały z kontroli operacyjnych, a dane przesyłane przez system opuszczały terytorium Polski - takie są ustalenia biegłych z Agencji Bezpieczeństwa Wewnętrznego w śledztwie ws. Pegasusa prowadzonym przez Prokuraturę Krajową. Komentując te informacje premier Donald Tusk stwierdził, że te ustalenia to „rewelacja ostatnich godzin”.

Donald Tusk zdj. Wojciech Olkuśnik

Prokuratura Krajowa poinformowała o ustaleniach biegłych z ABW w śledztwie ws. systemu Pegasus. Wynika z nich, że CBA nie miało pełnej kontroli nad systemem Pegasus. „CBA nie posiadało haseł dostępowych do części kont z uprawnieniami administracyjnymi, a niektóre elementy systemu pozostawały pod kontrolą producenta oprogramowania (prywatnej izraelskiej firmy)” – czytamy w komunikacie Prokuratury Krajowej. Jak podkreślono, moduł serwera odpowiedzialnego za infekowanie urządzeń mobilnych pozostawał pod wyłączną kontrolą producenta.

Ponadto biegli z ABW ustalili, że dane przesyłane przez system Pegasus opuszczały terytorium Polski. Przesyłano je za pośrednictwem tzw. sieci anonimizującej, obejmującej serwery znajdujące się w różnych częściach świata. Sieć ta była zarządzana przez producenta systemu i pozostawała poza kontrolą CBA. Biegli ujawnili zagraniczne adresy IP wykorzystywane przez system do przesyłania danych.

Co więcej, jak ustalili biegli z ABW, producent systemu Pegasus miał techniczną możliwość dostępu do materiałów z kontroli operacyjnych. „Wsparcie techniczne i aktualizacje odbywały się za pomocą zdalnego połączenia. Podczas tych prac prowadzone kontrole operacyjne nie były wstrzymywane, a producent uzyskiwał pełen dostęp do systemu, w tym możliwość dokonywania zmian w jego oprogramowaniu i konfiguracji” – napisano.

Co oznaczają te ustalenia?

W komunikacie prokuratury podkreślono, że opinie biegłych nie przesądzają, czy producent faktycznie uzyskał dostęp do materiałów pochodzących z konkretnych kontroli operacyjnych.

Prokuratura informuje, że takie rozwiązania nie gwarantowały pełnego bezpieczeństwa systemu i pozyskiwanych danych. 

„Brak dostępu do części elementów systemu uniemożliwiał CBA pełną kontrolę nad jego działaniem oraz niezależną weryfikację procesów pozyskiwania, przesyłania i przechowywania danych” – stwierdzono.

Pegasus instalowany bez wiedzy użytkownika

Jak podkreślono w komunikacie, system Pegasus mógł być instalowany w urządzeniach mobilnych (głównie telefonach) z systemami Android i iOS bez wiedzy i zgody użytkownika. Umożliwiał dostęp do całości lub części danych zapisanych na urządzeniach, m.in. SMS-ów, MMS-ów, mali, zdjęć, filmów, wiadomości z komunikatorów.

Ponadto Pegasus pozwalał na wykorzystywanie mikrofonu i kamer wbudowanych w urządzenie do rejestrowania dźwięku i obrazu w czasie rzeczywistym oraz wykonywanie zrzutów ekranu.

„Oddali w ręce obcego państwa dziesiątki tysięcy danych polskich obywateli”

Do sprawy odniósł się też premier Donald Tusk. W nagraniu na portalu X powiedział, że „dobiega końca sprawa Pegasusa, jednego z największych skandali w historii Polski po upadku komunizmu”.

Totalne narzędzie cybernetycznej inwigilacji, wyprodukowane przez izraelską firmę, co do której współpracy oczywiście ze służbami izraelskimi nikt nie ma wątpliwości - mówił. Jak stwierdził, w finale postępowania dotyczącego Pegasusa pojawiła się „rewelacja ostatnich godzin” potwierdzona przez polskie służby.

Wyobraźcie sobie, że ludzie odpowiedzialni za sprawiedliwość i za bezpieczeństwo państwa oddali w ręce obcego państwa, Izraela, tysiące, dziesiątki tysięcy danych, danych wrażliwych polskich obywateli, nie mając nad tym żadnej kontroli — zaznaczył premier.

Jego zdaniem to „już nie jest skandal”, a „tak naprawdę i chyba dla każdego to jest jasne — mówimy o zbrodni stanu i za to będą odpowiadać”.

Śledztwo w sprawie Pegasusa, 7 osób z zarzutami

Od 18 marca 2024 r. trwa śledztwo dotyczące podejrzenia przekroczenia uprawnień i niedopełnienia obowiązków przez funkcjonariuszy publicznych w związku ze stosowaniem oprogramowania Pegasus. Śledztwo obejmuje przede wszystkim trzy wątki: legalność kontroli operacyjnych, sposób pozyskiwania i wykorzystywania informacji oraz bezpieczeństwo i funkcjonalność systemu Pegasus.

Do tej pory zarzuty przedstawiono 7 osobom:

• Ernestowi B. (były szef CBA), Piotrowi P. (były szef ABW) i Maciejowi M. (były szef SKW) – zarzuty niedopełnienia obowiązków w związku z dopuszczeniem do wykorzystywania Pegasusa bez wymaganej akredytacji bezpieczeństwa teleinformatycznego i zapewnienia wymaganej ochrony informacji niejawnych.
• Danielowi K. (były zastępca szefa CBA) – zarzut bezprawnego przekazania materiałów z kontroli operacyjnej Romana Giertycha, w tym informacji objętych tajemnicą adwokacką i obrończą.
• Jarosławowi W. (były dyrektor Delegatury CBA w Warszawie), Katarzynie S. (była naczelnik Wydziału I Operacyjno-Śledczego Delegatury CBA w Warszawie) i Angeli P. (ekspertka tego wydziału) – zarzuty doprowadzenia do bezpodstawnych kontroli operacyjnych, nieuprawnionego pozyskiwania danych oraz wprowadzania w błąd prokuratora i sędziów.
  Śledztwo jest kontynuowane.

Dziś poznamy jawną część raportu komisji śledczej ds. Pegasusa

Dziś sejmowa komisja śledcza ds. Pegasusa przedstawi jawną część raportu dotyczącego zakupu, legalności i sposobu wykorzystywania tego systemu. Dokument będzie liczył ok. 700 stron i obejmie część jawną oraz niejawną. 

Według przewodniczącej komisji Magdaleny Sroki jednym z ustaleń komisji jest to, że Pegasus był wykorzystywany bez wymaganej – w jej ocenie – akredytacji, czyli bez gwarancji państwa, a zebrane systemem materiały znajdowały się w dyspozycji izraelskiego producenta. Sroka zapowiedziała też kolejne zawiadomienia do prokuratury.