Centralne Biuro Antykorupcyjne nie miało pełnej kontroli nad systemem Pegasus, a jego producent miał techniczną możliwość dostępu do materiałów z kontroli operacyjnych — informuje RMF24, relacjonując komunikat Prokuratury Krajowej o ustaleniach biegłych Agencji Bezpieczeństwa Wewnętrznego. Prokuratura zastrzega jednak, że opinie ekspertów nie przesądzają, czy producent rzeczywiście uzyskał dostęp do danych z konkretnych kontroli.
Według ustaleń opisanych przez RMF24 CBA nie posiadało haseł do części kont administracyjnych, a niektóre elementy systemu pozostawały pod kontrolą producenta. Dotyczyło to między innymi modułu serwera odpowiedzialnego za infekowanie urządzeń mobilnych, nad którym producent miał wyłączną kontrolę. Brak dostępu do części infrastruktury oznaczał, według prokuratury, że Biuro nie mogło w pełni kontrolować działania Pegasusa ani niezależnie sprawdzać, jak dane były pozyskiwane, przesyłane i przechowywane.
Dane przesyłano przez zagraniczne serwery
Biegli ustalili także, że dane przesyłane przez system opuszczały terytorium Polski. Ich droga prowadziła przez sieć anonimizującą obejmującą serwery w różnych częściach świata. Siecią zarządzał producent, a CBA jej nie kontrolowało. Jak podaje RMF24, eksperci ujawnili zagraniczne adresy IP wykorzystywane do przesyłania danych.
Możliwości producenta nie ograniczały się do zarządzania tą siecią. Wsparcie techniczne i aktualizacje odbywały się zdalnie, bez wstrzymywania prowadzonych kontroli operacyjnych. Według komunikatu przytoczonego przez RMF24 producent miał wówczas pełny dostęp do systemu oraz możliwość zmiany jego oprogramowania i konfiguracji, co dawało mu techniczną możliwość dostępu do zgromadzonych materiałów.
To istotne rozróżnienie: stwierdzenie, że system umożliwiał taki dostęp, nie jest dowodem, że producent z niego skorzystał. Podobnie opis przesyłania danych przez zagraniczne serwery nie przesądza o ich ujawnieniu osobom nieuprawnionym. Zastrzeżenie prokuratury dotyczy właśnie tego, czego opinie biegłych nie rozstrzygają — faktycznego dostępu producenta do materiałów z konkretnych kontroli.
Ustalenia w trwającym śledztwie
Opisane możliwości Pegasusa pokazują, jak szeroki mógł być zakres zbieranych informacji. Według komunikatu relacjonowanego przez RMF24 oprogramowanie mogło być instalowane na urządzeniach z systemami Android i iOS bez wiedzy i zgody użytkownika. Umożliwiało dostęp do danych, a także korzystanie z mikrofonu i kamer telefonu.
RMF24 podaje, że śledztwo rozpoczęło się 18 marca 2024 r. Obejmuje legalność kontroli operacyjnych, pozyskiwanie i wykorzystywanie informacji oraz bezpieczeństwo i funkcjonalność systemu. Według stacji zarzuty przedstawiono siedmiu osobom, a postępowanie jest kontynuowane. Zarzuty i ustalenia przedstawione w toku śledztwa nie stanowią prawomocnego rozstrzygnięcia o winie.
