PK: wedle opinii biegłych, CBA nie miało pełnej kontroli nad funkcjonowaniem systemu Pegasus

​Według ustaleń biegłych, CBA nie miało pełnej kontroli nad funkcjonowaniem systemu Pegasus – podał rzecznik PK prok. Przemysław Nowak. Według ustaleń, producent systemu mógł uzyskać dostęp do infrastruktury, na której przetwarzano i przechowywano materiały z kontroli operacyjnych, a przesyłane dane „opuszczały terytorium Polski”.

W opublikowanym w poniedziałek rano na portalu X nagraniu premier Donald Tusk powiedział, że „dobiega końca sprawa Pegasusa, jednego z największych skandali w historii Polski po upadku komunizmu”.

- Totalne narzędzie cybernetycznej inwigilacji, wyprodukowane przez izraelską firmę, co do której współpracy oczywiście ze służbami izraelskimi nikt nie ma wątpliwości — powiedział w nagraniu Tusk. Jak stwierdził, w finale postępowania dotyczącego Pegasusa pojawiła się „rewelacja ostatnich godzin” potwierdzona przez polskie służby.

- Wyobraźcie sobie, że ludzie odpowiedzialni za sprawiedliwość i za bezpieczeństwo państwa oddali w ręce obcego państwa, Izraela, tysiące, dziesiątki tysięcy danych, danych wrażliwych polskich obywateli, nie mając nad tym żadnej kontroli — zaznaczył premier.

Jego zdaniem to „już nie jest skandal”, a „tak naprawdę i chyba dla każdego to jest jasne — mówimy o zbrodni stanu i za to będą odpowiadać”.

W poniedziałkowym komunikacie opublikowanym na stronie PK prok. Nowak przypomniał o prowadzonym przez zespół śledczy postępowaniu dot. wykorzystania oprogramowania Pegasus. Jak dodał, w ramach śledztwa opinie dot. funkcjonalności i bezpieczeństwa tego systemu wydali biegli z Biura Badań Kryminalistycznych Agencji Bezpieczeństwa Wewnętrznego.

Ich podstawowym zadaniem – podał prok. Nowak - było ustalenie bezpieczeństwa i funkcjonalności systemu Pegasus.

Rzecznik PK poinformował, iż z opinii biegłych wynika, iż „system Pegasus umożliwiał pozyskiwanie szerokiego zakresu danych z urządzeń mobilnych bez wiedzy i zgody ich użytkowników”.

Jak dodał, biegli ustalili, że Centralne Biuro Antykorupcyjne „nie miało pełnej kontroli nad funkcjonowaniem systemu”, a jego producent „mógł uzyskać dostęp do infrastruktury, na której przetwarzano i przechowywano materiały z kontroli operacyjnych, a dane przesyłane przez system opuszczały terytorium Polski”.

Prokurator podał, iż wedle opinii biegłych CBA „nie posiadało haseł dostępowych do części kont z uprawnieniami administracyjnymi, a niektóre elementy systemu pozostawały pod kontrolą producenta oprogramowania”, którą była prywatna izraelska firma.

To, zdaniem biegłych, „uniemożliwiało pełną weryfikację poprawności funkcjonowania poszczególnych modułów systemu”. „Moduł serwera odpowiedzialnego za infekowanie urządzeń mobilnych pozostawał pod wyłączną kontrolą producenta” – podał rzecznik.

Jak ustalili biegli, dane przesyłane przez oprogramowanie „przesyłano za pośrednictwem tzw. sieci anonimizującej, obejmującej serwery znajdujące się w różnych częściach świata”. Rzecznik PK wskazał, że sieć była zarządzana przez producenta systemu i „pozostawała poza kontrolą CBA”. „Biegli ujawnili zagraniczne adresy IP wykorzystywane przez system do przesyłania danych” – podał prokurator.

W ocenie biegłych producent Pegasusa „miał techniczną możliwość dostępu do materiałów z kontroli operacyjnych”, a wsparcie techniczne i aktualizacje odbywały się za pomocą zdalnego połączenia. „Podczas tych prac prowadzone kontrole operacyjne nie były wstrzymywane, a producent uzyskiwał pełen dostęp do systemu, w tym możliwość dokonywania zmian w jego oprogramowaniu i konfiguracji” – podał rzecznik PK. Zastrzegł, iż opinie biegłych „nie przesądzają”, czy producent faktycznie uzyskał dostęp do materiałów pochodzących z konkretnych kontroli operacyjnych.

Rzecznik PK przypomniał, że instalacja oprogramowania na urządzeniach mobilnych z systemami operacyjnymi mogła odbywać się bez wiedzy i zgody użytkownika.

Sam system – czytamy w komunikacie - umożliwiał dostęp do całości lub części danych zapisanych na urządzeniach. Do tego zaliczają się m.in. wiadomości SMS i treści wiadomości z komunikatorów internetowych oraz e-maili, historia połączeń oraz treści rozmów telefonicznych, listy kontaktów i wpisów w kalendarzu, historii odwiedzanych stron internetowych, zdjęć i nagrań, dokumentów czy danych lokalizacyjnych, w tym informacji pochodzących z GPS.

System umożliwiał też dostęp do wiadomości, wskazał prok. Nowak, „przed rozpoczęciem kontroli operacyjnej, jeżeli w momencie pozyskiwania danych były one zapisane na urządzeniu”.

Pegasus pozwalał też – dodał rzecznik PK - na m.in. wykorzystywanie mikrofonu i kamer wbudowanych w urządzenie do rejestrowania dźwięku i obrazu w czasie rzeczywistym oraz wykonywanie zrzutów ekranu.

„Pozyskiwane dane były gromadzone na urządzeniu mobilnym, a następnie przesyłane w postaci zaszyfrowanej na serwer systemu, bez zgody i wiedzy użytkownika” – podał prokurator.

Śledztwo dotyczące podejrzenia przekroczenia uprawnień i niedopełnienia obowiązków przez funkcjonariuszy publicznych w związku ze stosowaniem oprogramowania Pegasus zostało wszczęte w marcu 2024 roku.

Zajmujący się śledztwem zespół powołany zaś został w kwietniu 2024 roku przez ówczesnego Prokuratora Generalnego (i szefa MS) Adama Bodnara.

Rzecznik PK przypomniał, że w toku śledztwa zarzuty przedstawiono siedmiu osobom, w tym m.in. byłym szefom CBA, ABW i SKW. 

Według przekazanych dotąd informacji m.in. przez NIK Pegasusa zakupiono jesienią 2017 r. dla CBA ze środków w zasadniczej części (25 mln zł) z Funduszu Sprawiedliwości.

W poniedziałek w południe sejmowa komisja ds. Pegasusa ma przedstawić jawną część raportu dotyczącego zakupu, legalności i sposobu wykorzystywania systemu Pegasus. W rozmowie z PAP szefowa komisji Magdalena Sroka zapowiedziała, że skierowane zostaną kolejne zawiadomienia do prokuratury. (PAP)