Opinie biegłych ABW dotyczące bezpieczeństwa i funkcjonowania systemu Pegasus
12.10.2026
W śledztwie prowadzonym przez Zespół Śledczy nr 3 Prokuratury Krajowej biegli z Agencji Bezpieczeństwa Wewnętrznego wydali opinie dotyczące funkcjonalności i bezpieczeństwa systemu Pegasus.
Z opinii biegłych wynika, że system Pegasus umożliwiał pozyskiwanie szerokiego zakresu danych z urządzeń mobilnych bez wiedzy i zgody ich użytkowników. Biegli ustalili również, że CBA nie miało pełnej kontroli nad funkcjonowaniem systemu, producent oprogramowania mógł uzyskać dostęp do infrastruktury, na której przetwarzano i przechowywano materiały z kontroli operacyjnych, a dane przesyłane przez system opuszczały terytorium Polski.
Funkcjonalność systemu Pegasus
Instalacja oprogramowania na urządzeniach mobilnych z systemami operacyjnymi Android i iOS (głównie telefonach) mogła odbywać się bez wiedzy i zgody użytkownika.
System umożliwiał dostęp do całości lub części danych zapisanych na urządzeniach, w tym:
- wiadomości SMS, MMS oraz treści wiadomości z komunikatorów internetowych, treści wiadomości e-mail;
- historii połączeń oraz treści rozmów telefonicznych, zarówno prowadzonych przez sieć komórkową, jak i przez internet (GSM i VoIP);
- list kontaktów i wpisów w kalendarzu, historii odwiedzanych stron internetowych;
- zdjęć, nagrań wideo, dokumentów oraz innych plików zapisanych w urządzeniu;
- danych lokalizacyjnych, w tym informacji pochodzących z GPS.
System umożliwiał również dostęp do wiadomości (w tym SMS-ów, e-maili i wiadomości z komunikatorów internetowych) wysłanych i otrzymanych przed rozpoczęciem kontroli operacyjnej, jeżeli w momencie pozyskiwania danych były one zapisane na urządzeniu.
Ponadto Pegasus pozwalał na wykorzystywanie mikrofonu i kamer wbudowanych w urządzenie do rejestrowania dźwięku i obrazu w czasie rzeczywistym oraz wykonywanie zrzutów ekranu.
Pozyskiwane dane były gromadzone na urządzeniu mobilnym, a następnie przesyłane w postaci zaszyfrowanej na serwer systemu, bez zgody i wiedzy użytkownika.
Bezpieczeństwo systemu i danych
W zakresie bezpieczeństwa systemu i danych biegli ustalili, że:
- CBA nie miało pełnej kontroli nad systemem Pegasus. CBA nie posiadało haseł dostępowych do części kont z uprawnieniami administracyjnymi, a niektóre elementy systemu pozostawały pod kontrolą producenta oprogramowania (prywatnej izraelskiej firmy). Uniemożliwiało to pełną weryfikację poprawności funkcjonowania poszczególnych modułów systemu, w tym odpowiedzialnych za przesyłanie i przechowywanie danych. Moduł serwera odpowiedzialnego za infekowanie urządzeń mobilnych pozostawał pod wyłączną kontrolą producenta.
- Dane przesyłane przez system Pegasus opuszczały terytorium Polski. Przesyłano je za pośrednictwem tzw. sieci anonimizującej, obejmującej serwery znajdujące się w różnych częściach świata. Sieć ta była zarządzana przez producenta systemu i pozostawała poza kontrolą CBA. Biegli ujawnili zagraniczne adresy IP wykorzystywane przez system do przesyłania danych.
- Producent systemu Pegasus miał techniczną możliwość dostępu do materiałów z kontroli operacyjnych. Wsparcie techniczne i aktualizacje odbywały się za pomocą zdalnego połączenia. Podczas tych prac prowadzone kontrole operacyjne nie były wstrzymywane, a producent uzyskiwał pełen dostęp do systemu, w tym możliwość dokonywania zmian w jego oprogramowaniu i konfiguracji. Opinie biegłych nie przesądzają, czy producent faktycznie uzyskał dostęp do materiałów pochodzących z konkretnych kontroli operacyjnych.
Zastosowane rozwiązania nie gwarantowały pełnego bezpieczeństwa systemu i pozyskiwanych danych. Brak dostępu do części elementów systemu uniemożliwiał CBA pełną kontrolę nad jego działaniem oraz niezależną weryfikację procesów pozyskiwania, przesyłania i przechowywania danych.
Biegli i opinie
Niniejsze opinie wydali biegli z Biura Badań Kryminalistycznych Agencji Bezpieczeństwa Wewnętrznego. Zostali oni powołani postanowieniami z 7 maja 2024 r., 5 lipca 2024 r. oraz 31 stycznia 2025 r. Ich podstawowym zadaniem było ustalenie bezpieczeństwa i funkcjonalności systemu Pegasus.
W toku śledztwa biegli wydali trzy opinie: 18 kwietnia 2025 r. (opinię częściową), 29 czerwca 2026 r. (opinię końcową) oraz 13 lipca 2026 r. (opinię uzupełniającą).
Opinie sporządzono na podstawie analizy obszernej dokumentacji oraz oględzin systemu Pegasus w siedzibie CBA.
Opinie były w całości niejawne (objęte klauzulą „ściśle tajne”). Zarządzeniem z 26 sierpnia 2026 r. Prokurator Generalny częściowo zniósł klauzulę tajności z określonych fragmentów tych opinii, uznając, że nie stanowią one informacji niejawnych.
Śledztwo
18 marca 2024 r. wszczęto śledztwo dotyczące podejrzenia przekroczenia uprawnień i niedopełnienia obowiązków przez funkcjonariuszy publicznych w związku ze stosowaniem oprogramowania Pegasus.
22 kwietnia 2024 r. Prokurator Generalny Adam Bodnar powołał Zespół Śledczy nr 3 Prokuratury Krajowej do prowadzenia tego postępowania.
Śledztwo obejmuje przede wszystkim trzy wątki: legalność kontroli operacyjnych, sposób pozyskiwania i wykorzystywania informacji oraz bezpieczeństwo i funkcjonalność systemu Pegasus.
Zarzuty
W toku śledztwa zarzuty przedstawiono 7 osobom:
- Ernest B. (były szef CBA), Piotr P. (były szef ABW) i Maciej M. (były szef SKW) – zarzuty niedopełnienia obowiązków w związku z dopuszczeniem do wykorzystywania Pegasusa bez wymaganej akredytacji bezpieczeństwa teleinformatycznego i zapewnienia wymaganej ochrony informacji niejawnych.
- Daniel K. (były zastępca szefa CBA) – zarzut bezprawnego przekazania materiałów z kontroli operacyjnej Romana Giertycha, w tym informacji objętych tajemnicą adwokacką i obrończą.
- Jarosław W. (były dyrektor Delegatury CBA w Warszawie), Katarzyna S. (była naczelnik Wydziału I Operacyjno-Śledczego Delegatury CBA w Warszawie) i Angela P. (ekspertka tego wydziału) – zarzuty doprowadzenia do bezpodstawnych kontroli operacyjnych, nieuprawnionego pozyskiwania danych oraz wprowadzania w błąd prokuratora i sędziów.
Śledztwo jest kontynuowane.
prok. Przemysław Nowak
Rzecznik Prasowy
Prokuratury Krajowej
Materiały
gov >>>
Brak komentarzy:
Prześlij komentarz