Pegasus (oprogramowanie szpiegujące)

Pegasus – oprogramowanie szpiegujące przeznaczone do instalacji na systemach iOS i Android opracowane i dystrybuowane przez izraelską firmę NSO Group.

Metoda działania

Zainfekowanie telefonu komórkowego może odbyć się za pośrednictwem jednej z trzech metod. Najczęściej zainfekowanie urządzenia zachodzi poprzez wejście w link przesłany za pośrednictwem poczty elektronicznej. Otwarcie linku rozpoczyna komunikację urządzenia z serwerem, który infekuje urządzenie. Drugi sposób, bazujący na wykorzystaniu komunikatora internetowego, nie wymaga interakcji z linkiem. Wystarcza samo jego wyświetlenie. Trzeci sposób zainfekowania telefonu wykorzystuje połączenie telefoniczne, którego odebranie nie jest konieczne do instalacji Pegasusa (wystarcza samo przesłanie sygnału). W przypadku iOS Pegasus wykorzystywał proces jailbreakingu, jednak jak zapewnia Apple, od aktualizacji 9.3.5 iOS wykorzystywana luka w zabezpieczeniach została załatana. Po zainfekowaniu urządzenia Pegasus otrzymuje dostęp do wszystkich jego funkcji. Począwszy od lokalizacji, rejestru połączeń, zapisanych haseł, rejestrowania dźwięku (de facto umożliwiając podsłuchiwanie) kończąc na danych przesyłanych za pomocą innych aplikacji (np. Messenger).

Pierwsze wykrycia Pegasusa

Oprogramowanie po raz pierwszy zostało wykryte w 2016 r. Ahmed Mansur – aktywista działający na rzecz ochrony praw człowieka w Zjednoczonych Emiratach Arabskich – otrzymał wiadomość SMS z linkiem, który miał zawierać informacje o przetrzymywaniu i torturach w więzieniach w ZEA. Przed otwarciem linku Mansur poprosił o jego sprawdzenie organizację Citizen Lab. Śledztwo rozpoczęte przez Citizen Lab we współpracy z Lookout – prywatną firmą zajmującą się cyberbezpieczeństwem, ujawniło, że otwarcie linku spowodowałoby zainfekowanie telefonu Mansura oprogramowaniem szpiegującym oraz wskazało jako producenta izraelską firmę NSO Group.

Innym skandalem zawierającym wątek Pegasusa było zabójstwo Dżamala Chaszukdżiego – saudyjskiego dziennikarza publikującego m.in. na łamach „The Washington Post”. Edward Snowden wykazał, że Chaszukdżi przez kilka miesięcy przed zamordowaniem był śledzony przy wykorzystaniu Pegasusa. Następne doniesienia informowały o wykorzystywaniu oprogramowania do inwigilacji indyjskich działaczy społecznych i prawników oraz jako narzędzie w rękach meksykańskich karteli narkotykowych. W 2018 r. Citizen Lab opublikowało raport z własnego śledztwa wykazujący obecność Pegasusa w 45 państwach. W lipcu 2021 r. padło podejrzenie, że prezydent Francji Emmanuel Macron, był podsłuchiwany przez marokańskie służby poprzez wykorzystanie oprogramowania Pegasus. Oprócz prezydenta na liście potencjalnych celów znalazł się były premier Édouard Philippe, 14 ministrów oraz ponad 50 tys. innych numerów telefonów z całego świata potencjalnie narażonych na inwigilację za pośrednictwem Pegasusa. Emmanuel Macron zapowiedział zwołanie specjalnego posiedzenia francuskiej Rady Bezpieczeństwa Narodowego w sprawie Pegasusa. Z 50 tys. narażonych numerów telefonów około tysiąc zostało powiązanych z dziennikarzami mediów takich jak „The Wall Street Journal”, „El País” i CNN. Przewodnicząca Komisji Europejskiej Ursula von der Leyen podkreśliła, że inwigilacja dziennikarzy jest niedopuszczalna i wbrew wszelkim zasadom i wartościom Unii Europejskiej.

Pegasus w Polsce

Raport Citizen Lab już w 2018 r. wskazywał, że operator o nazwie roboczej ORZELBIALY rozprzestrzeniał Pegasusa, wykorzystując sieci komórkowe należące do Polkomtel, Fiberlink, Orange Polska, T-Mobile Polska, PROSAT, Vectra i Netia. Sposób działania Pegasusa nie wymaga jednak zgody operatorów telekomunikacyjnych na rozprzestrzenianie przy użyciu ich sieci. W 2018 r. Najwyższa Izba Kontroli w komunikacie prasowym wykazała, że Centralne Biuro Antykorupcyjne otrzymało 25 mln zł od Ministerstwa Sprawiedliwości ze środków pochodzących z Funduszu Sprawiedliwości. W 2019 r. dziennikarskie śledztwo reporterów programu Czarno na białym powiązało kwotę przekazaną CBA z zakupem za pośrednictwem jednej z warszawskich firm informatycznych oprogramowania do inwigilacji. Z prośbą o wyjaśnienia do sejmowej Komisji ds. Służb Specjalnych i premiera wystąpił Rzecznik Praw Obywatelskich. W odpowiedzi sekretarz Kolegium ds. Służb Specjalnych określił zarzuty RPO za bezpodstawne, nie odnosząc się do samego potencjalnego zakupu Pegasusa przez CBA. W krótkim oświadczeniu CBA zaprzeczyło kupnu „systemu masowej inwigilacji Polaków”. 16 października 2019 w sprawie kupna Pegasusa odbyło się zamknięte posiedzenie sejmowej Komisji ds. Służb Specjalnych. Komisja nie skorzystała z przysługującego jej prawa do sporządzenia komunikatu dla mediów z posiedzenia.

W 2020 r. dziennikarze „Rzeczypospolitej” ustalili, że system Pegasus był wykorzystany do zatrzymania przez CBA byłego ministra Sławomira Nowaka. Z racji pracy Nowaka w sztabie wyborczym opozycyjnego kandydata na Prezydenta RP Rafała Trzaskowskiego dziennikarze i środowiska opozycyjne zwrócili uwagę na możliwość inwigilacji sztabu Rafała Trzaskowskiego podczas kampanii wyborczej. W odpowiedzi minister koordynator Służb Specjalnych Mariusz Kamiński nie potwierdził wykorzystania Pegasusa i zaprzeczył inwigilacji sztabu opozycji. W lipcu 2021 r., w związku z aferą dotyczącą inwigilacji prezydenta Francji została opublikowana lista stron internetowych potencjalnie wykorzystywanych do rozprzestrzeniania. Wśród 1406 opublikowanych adresów dwa wskazują na polską stronę internetową e-monitoring-przesylek i e-prokuror.info.

Sprawa kupna i wykorzystania przez CBA systemu Pegasus ożywiła w Polsce dyskusję nad wydolnością systemu kontroli i nadzoru nad służbami specjalnymi. W 2019 r. z inicjatywy Rzecznika Praw Obywatelskich zespół ekspertów złożony z przedstawicieli organizacji pozarządowych, byłych polityków i funkcjonariuszy przygotował raport Osiodłać Pegaza wskazujący na archaiczność polskiego systemu nadzoru i kontroli nad służbami, postulujący utworzenie niezależnego organu kontroli. Kontrowersje związane z ujawnionym przez Citizen Lab kupnem i używaniem programu Pegasus w czasie rządów Prawa i Sprawiedliwości doprowadziły do powołania 12 stycznia 2022 nadzwyczajnej komisji senackiej ds. nielegalnej inwigilacji.

Według raportu końcowego komisji w Polsce Pegasusa używano w „stopniu niezwykle agresywnym”, zaś kupno i wykorzystanie Pegasusa było nielegalne i stanowiło „rażące naruszenie norm konstytucyjnych”. Komisja skierowała wnioski do prokuratury wobec osób, które związane były z nabyciem i użytkowaniem programu. Wśród nich znaleźli się m.in.: Mariusz Kamiński, Bogdan Święczkowski, Ernest Bejda, Michał Woś i Piotr Patkowski.

Citizen Lab potwierdziło pięć przypadków stosowania Pegasusa w Polsce; według laboratorium oprogramowania użyto wobec Krzysztofa Brejzy, Romana Giertycha, Ewy Wrzosek (prokurator, członek stowarzyszenia Lex super omnia, krytyczka zmian w sądownictwie wprowadzonych w czasie rządów Prawa i Sprawiedliwości), Michała Kołodziejczaka i Tomasza Szwejgierta (dziennikarz i zastępca redaktora naczelnego portalu Służby specjalne, współautor książki o ministrze Mariuszu Kamińskim). Amnesty International potwierdziło, że Pegasusa użyto przeciwko Krzysztofowi Brejzie (Brejza miał być inwigilowany w czasie kampanii wyborczej przed wyborami parlamentarnymi w 2019 roku, w czasie kampanii pełnił funkcję szefa sztabu wyborczego Koalicji Obywatelskiej), a ponadto potwierdziło ślady prób zainfekowania Pegasusem na telefonach Ryszarda Brejzy (prezydent Inowrocławia i ojciec Krzysztofa Brejzy) i Magdaleny Łośko (asystentka Krzysztofa Brejzy).

17 stycznia 2024 Sejm RP powołał komisję śledczą ds. czynności operacyjno-rozpoznawczych z użyciem Pegasusa. Zakres prac komisji obejmie okres od 16 listopada 2015 do 20 listopada 2023.

Od września 2021 r. NSO Group, izraelski producent Pegasusa odmawiał przedłużenia licencji subskrypcyjnej na Pegasusa, przez co korzystanie z Pegasusa przez polskie służby stało się niemożliwe.

Linki zewnętrzne

• Pełna odpowiedź ministra Macieja Wąsika na pytanie Rzecznika Praw Obywatelskich o zakup Pegasusa
• Raport Citizen Lab z 2018 roku
• Raport Osiodłać Pegaza
• Strona NSO Group