Polska używa Pegasusa do śledzenia niewinnych obywateli

Pierwsze informacje o wykorzystywaniu przez polskie władze oprogramowania Pegasus do inwigilacji własnych obywateli pojawiły się w grudniu 2021 roku. Wtedy grupa Citizen Lab działająca przy Uniwersytecie w Toronto przedstawiła raport wskazujący, że oprogramowanie Pegsaus było wykorzystywane do hakowania telefonów radcy prawnego Romana Giertycha, prokurator Ewy Wrzosek oraz Krzysztofa Brejzy. Do włamań doszło w trakcie kampanii parlamentarnej w 2019 roku.

Amnesty International szczególnie zainteresowała kwestia infekcji telefonów Krzysztofa Brejzy, ówczesnego szefa kampanii wyborczej Komisji Obywatelskiej, która ostatecznie znalazła się w opozycji. Wiadomości tekstowe, pobrane z telefonu Brejzy, zostały wyemitowane w TVP i wykorzystane na użytek kampanii wyborczej PiS.  

Ekspert Securtity Lab Amnesty International po wykonaniu analizy kryptograficznej potwierdza, że były to dane tożsame z danymi zgromadzonymi w kopii zapasowej telefonu polityka, do której dotarło Citizen Lab. Nie ulega więc wątpliwości, że zostały one pozyskane przy użyciu oprogramowania Pegasus i były gromadzone od kwietnia do października 2019 roku.

Istotne w całej sprawie jest także wywiad, jakiego udzielił w tym tygodniu Jarosław Kaczyński. W przeciwieństwie do formalnie piastujących stanowiska ministrów i szefa rządu, którzy zaprzeczają wykorzystywaniu tego oprogramowania, prezes PiS w rozmowie z tygodnikiem "W Sieci" przyznał, że polski rząd i służby bezpieczeństwa korzystają z Pegasusa. Beztrosko twierdzi też, że każdy potencjalnie inwigilowany obywatel powinien być z tego faktu dumny.

Być może, gdyby nie wszystko rozbijało się o wolności obywatelskie, a prezes Kaczyński nie opowiadał półprawd na temat działania oprogramowania:

Pegasus to program, po który sięgają służby zwalczające przestępczość i korupcję w wielu krajach. Jego powstanie i używanie jest wynikiem zmiany technologicznej, rozwoju szyfrowanych komunikatorów, których za pomocą starych systemów monitorujących nie można odczytać

– tłumaczy w wywiadzie Jarosław Kaczyński.

Przede wszystkim oprogramowanie Pegasus pozwala na dużo większy poziom inwigilacji, niż sugerowany przez prezeza PiS. Zainfekowane urządzenie może być nie tylko monitorowane, ale także służyć do obserwowania otoczenia, w którym się znalazło. Jest nie tylko odpowiednikiem posłuchu. Sposób wykorzystywania smartfonów pozwala na permanentne śledzenie użytkownika, jego lokalizacji, planów, przeszłości oraz osób, z którymi ma on kontakt.

• Jak działa oprogramowanie Pegasus?

Tak brutalne potraktowanie czyjejkolwiek prywatności powinno być uzasadnione na przykład podejrzeniami o terroryzm lub inną działalność zagrażającą bezpieczeństwu państwa. Nie jest nim kampania wyborcza czy legalna działalność polityczna. Ewentualne zgromadzone dowody nie mogą też być podawane do publicznej wiadomości przed wydaniem wyroku. W przypadku danych pozyskanych z telefonów Krzysztofa Brejzy trudno dostrzec jakąkolwiek legalną zasadność takiej inwigilacji.

Ciekawą sprawą jest także finansownie zakupu licencji oprogramowania Pegasus. Środki na ten cel pochodziły z funduszu sprawiedliwości, a nie bezpieczeństwa. Dlaczego tak się stało, nie dowiemy od ministrów, premiera, ani służb bezpieczeństwa, ponieważ najlepiej poinformowany jest zaledwie szef partii rządzącej:

To sprawa o charakterze technicznym, bez większego znaczenia. Pieniądze publiczne wydano na ważny cel publiczny, związany z walką z przestępczością, ochroną obywateli.

- niezbyt elokwentnie wyjaśnia prezes PiS.

Odmiennego zdania jest jednak opinia międzynarodowa. Amnesty International uważa, że jest to podejrzane i wymaga co najmniej wszczęcia śledztwa. NSO, czyli dostawca oprogramowania odmówiło wskazania zleceniodawcy, ale potwierdziło, że współpracuje tylko z legalnymi agencjami rządowymi. Zazwyczaj w celach służących przeciwdziałaniu terroryzmowi i zawsze zweryfikowanymi przez izraelskie Ministerstwo Obrony. W listopadzie 2021 roku Polska nie znalazła się na liście takowych. Zostaliśmy potraktowani jako państwo, w którym standard wolności obywatelskich jest pod znakiem zapytania.

Cała ta troska o państwo i obywateli, jakie za oczywiste uważa prezes PiS, staje się gruzem, jeśli przyjrzymy się kosztom wykorzystywania oprogramowania Pegasus. Adam Heartle, specjalista ds. cyberbezpieczeństwa w rozmowie w "Faktach po faktach" przyznał:

Wiemy, że faktura, którą Polska zapłaciła w tym pierwszym etapie, w momencie instalacji oprogramowania, wyniosła około 33 miliony złotych (…) mówimy o kwotach rzędu kilkuset tysięcy, pewnie do miliona złotych per jednoczesna ofiara ataku.

Wszystko dlatego, że oprogramowanie Pegasus jest drogim sposobem szpiegowania. Ataki, żeby były skuteczne, muszą być powielane.

Pegasusa można nabawić się klikając w link, ale także może pojawić na urządzeniu bez jakiegokolwiek działania użytkownika. Wystarczy powiadomienie PUSH i bezpośredni kontakt z urządzeniem. Pierwsza infekcja pozwala na kolejne, które można przeprowadzać zdalnie. Jest to konieczne, ponieważ do usunięcia szpiegujących plików wystarczy restart urządzenia mobilnego.

Komunikatory, tak bardzo niepokojące prezesa PiS, dysponują nie tylko diabelską kryptografią. Wiele z nich ma inną, całkiem niewinną funkcję: kasowanie wiadomości po odczytaniu. Wystarczy, że ofiara z niej korzysta i bardzo często restartuje urządzenie, a Pegasus tak odebrane wiadomości może przegapić. Nie ma ich w historii korespondencji, a oprogramowanie szpiegujące nawet szybko uruchomione, potrzebuje chwili na instalację po restarcie urządzenia.

Wszystko to sprawia, że śledzenie przy pomocy Pegasusa nie zawsze jest efektywne. Szczególnie jeśli ktoś rzeczywiście ma coś do ukrycia. Pomijając już fakt, że szpiegowanie prawników, prokuratorów i przeciwników politycznych może być poczytywane za zagrożenie dla bezpieczeństwa państwa, to gdyby ktokolwiek pomyślał o dobru obywateli, wydałby te pieniądze na prace nad własnym oprogramowaniem, a nie kupował izraelską licencję.

Źródła: Associated Press, cytaty pochodzą: TVN, W Sieci