±Prokuratura Krajowa opublikowała fragmenty kluczowe ustalenia z opinii biegłych z Biura Badań Kryminalistycznych ABW, dotyczących funkcjonalności i bezpieczeństwa systemu Pegasus. Opinie były w całości które przez długi czas objęte były klauzulą "ściśle tajne", jednak zarządzeniem tajne". Zarządzeniem z 26 sierpnia 2026 r. Prokurator Generalny częściowo zniósł tajność z określonych ich fragmentów, uznając, że nie stanowią informacji niejawnych.
±Z ustaleń biegłych wynika, że instalacja oprogramowania szpiegującego oprogramowanie Pegasus mogło być instalowane na telefonach urządzeniach mobilnych z systemami Android i iOS mogła przebiegać bez wiedzy i oraz zgody właścicieli urządzeń. Po zainstalowaniu Pegasus ich użytkowników. System dawał dostęp do całości lub części zapisanych danych — zapisanych na urządzeniu, w tym do wiadomości SMS, e-maili, wiadomości e-maili i korespondencji z komunikatorów internetowych, a także do historycznych wiadomości przesłanych internetowych — również tych wysłanych i odebranych jeszcze przed rozpoczęciem kontroli operacyjnej, jeśli były one nadal przechowywane na urządzeniu. System pozwalał ponadto na zdalne uruchamianie mikrofonu i kamer oraz wykonywanie zrzutów ekranu. telefonie.
−W zakresie bezpieczeństwa systemu i danych biegli ustalili, że CBA nie miało pełnej kontroli nad systemem Pegasus.
−"CBA nie posiadało haseł dostępowych do części kont z uprawnieniami administracyjnymi, a niektóre elementy systemu pozostawały pod kontrolą producenta oprogramowania (prywatnej izraelskiej firmy). Uniemożliwiało to pełną weryfikację poprawności funkcjonowania poszczególnych modułów systemu, w tym odpowiedzialnych za przesyłanie i przechowywanie danych. Moduł serwera odpowiedzialnego za infekowanie urządzeń mobilnych pozostawał pod wyłączną kontrolą producenta" - czytamy w komunikacie PK.
−Dane przesyłane przez system Pegasus opuszczały terytorium Polski. Jak ustalili biegli, przesyłano je za pośrednictwem tzw. sieci anonimizującej, obejmującej serwery znajdujące się w różnych częściach świata, która była zarządzana przez producenta systemu i pozostawała poza kontrolą CBA.
−Co więcej, producent oprogramowania mógł uzyskać dostęp do serwerów, na których przetwarzano materiały z kontroli operacyjnych.
−"Zastosowane rozwiązania nie gwarantowały pełnego bezpieczeństwa systemu i pozyskiwanych danych. Brak dostępu do części elementów systemu uniemożliwiał CBA pełną kontrolę nad jego działaniem oraz niezależną weryfikację procesów pozyskiwania, przesyłania i przechowywania danych" - przekazał rzecznik PK prok. Przemysław Nowak.
−Więcej informacji podamy za chwilę
+Pegasus umożliwiał ponadto zdalne aktywowanie mikrofonu i kamery urządzenia w celu rejestrowania dźwięku i obrazu w czasie rzeczywistym, a także wykonywanie zrzutów ekranu. Zebrane dane były następnie przesyłane w postaci zaszyfrowanej na serwer systemu — bez wiedzy użytkownika i poza jego kontrolą. Co istotne, biegli potwierdzili, że dane te opuszczały terytorium Polski.
+Zastosowane rozwiązania nie gwarantowały pełnego bezpieczeństwa systemu ani pozyskiwanych informacji. CBA nie miało wglądu w część elementów infrastruktury, co uniemożliwiało służbie niezależną weryfikację procesów pozyskiwania, przesyłania i przechowywania danych. Producent oprogramowania mógł natomiast uzyskać dostęp do infrastruktury, na której przetwarzano materiały z kontroli operacyjnych.
+Postępowanie w sprawie stosowania Pegasusa wszczęto 18 marca 2024 r. Dotyczy ono podejrzenia przekroczenia uprawnień i niedopełnienia obowiązków przez funkcjonariuszy publicznych. Śledztwo obejmuje trzy główne wątki: legalność prowadzonych kontroli operacyjnych, sposób pozyskiwania i wykorzystywania informacji oraz bezpieczeństwo i funkcjonalność samego systemu.
+Do tej pory zarzuty w śledztwie dot. Pegasusa usłyszało siedem osób: