Prokuratura Krajowa

W śledztwie prowadzonym przez Zespół Śledczy nr 3 Prokuratury Krajowej biegli z Agencji Bezpieczeństwa Wewnętrznego wydali opinie dotyczące funkcjonalności i bezpieczeństwa systemu Pegasus.

Z opinii biegłych wynika, że system Pegasus umożliwiał pozyskiwanie szerokiego zakresu danych z urządzeń mobilnych bez wiedzy i zgody ich użytkowników. Biegli ustalili również, że CBA nie miało pełnej kontroli nad funkcjonowaniem systemu, producent oprogramowania mógł uzyskać dostęp do infrastruktury, na której przetwarzano i przechowywano materiały z kontroli operacyjnych, a dane przesyłane przez system opuszczały terytorium Polski.

Funkcjonalność systemu Pegasus

Instalacja oprogramowania na urządzeniach mobilnych z systemami operacyjnymi Android i iOS (głównie telefonach) mogła odbywać się bez wiedzy i zgody użytkownika.

System umożliwiał dostęp do całości lub części danych zapisanych na urządzeniach, w tym:

• wiadomości SMS, MMS oraz treści wiadomości z komunikatorów internetowych, treści wiadomości e-mail;
• historii połączeń oraz treści rozmów telefonicznych, zarówno prowadzonych przez sieć komórkową, jak i przez internet (GSM i VoIP);
• list kontaktów i wpisów w kalendarzu, historii odwiedzanych stron internetowych;
• zdjęć, nagrań wideo, dokumentów oraz innych plików zapisanych w urządzeniu;
• danych lokalizacyjnych, w tym informacji pochodzących z GPS.

System umożliwiał również dostęp do wiadomości (w tym SMS-ów, e-maili i wiadomości z komunikatorów internetowych) wysłanych i otrzymanych przed rozpoczęciem kontroli operacyjnej, jeżeli w momencie pozyskiwania danych były one zapisane na urządzeniu.

Ponadto Pegasus pozwalał na wykorzystywanie mikrofonu i kamer wbudowanych w urządzenie do rejestrowania dźwięku i obrazu w czasie rzeczywistym oraz wykonywanie zrzutów ekranu.

Pozyskiwane dane były gromadzone na urządzeniu mobilnym, a następnie przesyłane w postaci zaszyfrowanej na serwer systemu, bez zgody i wiedzy użytkownika.

Bezpieczeństwo systemu i danych

W zakresie bezpieczeństwa systemu i danych biegli ustalili, że:

1. CBA nie miało pełnej kontroli nad systemem Pegasus. CBA nie posiadało haseł dostępowych do części kont z uprawnieniami administracyjnymi, a niektóre elementy systemu pozostawały pod kontrolą producenta oprogramowania (prywatnej izraelskiej firmy). Uniemożliwiało to pełną weryfikację poprawności funkcjonowania poszczególnych modułów systemu, w tym odpowiedzialnych za przesyłanie i przechowywanie danych. Moduł serwera odpowiedzialnego za infekowanie urządzeń mobilnych pozostawał pod wyłączną kontrolą producenta.
    
2. Dane przesyłane przez system Pegasus opuszczały terytorium Polski. Przesyłano je za pośrednictwem tzw. sieci anonimizującej, obejmującej serwery znajdujące się w różnych częściach świata. Sieć ta była zarządzana przez producenta systemu i pozostawała poza kontrolą CBA. Biegli ujawnili zagraniczne adresy IP wykorzystywane przez system do przesyłania danych.
    
3. Producent systemu Pegasus miał techniczną możliwość dostępu do materiałów z kontroli operacyjnych. Wsparcie techniczne i aktualizacje odbywały się za pomocą zdalnego połączenia. Podczas tych prac prowadzone kontrole operacyjne nie były wstrzymywane, a producent uzyskiwał pełen dostęp do systemu, w tym możliwość dokonywania zmian w jego oprogramowaniu i konfiguracji. Opinie biegłych nie przesądzają, czy producent faktycznie uzyskał dostęp do materiałów pochodzących z konkretnych kontroli operacyjnych.

Zastosowane rozwiązania nie gwarantowały pełnego bezpieczeństwa systemu i pozyskiwanych danych. Brak dostępu do części elementów systemu uniemożliwiał CBA pełną kontrolę nad jego działaniem oraz niezależną weryfikację procesów pozyskiwania, przesyłania i przechowywania danych.

Biegli i opinie

Niniejsze opinie wydali biegli z Biura Badań Kryminalistycznych Agencji Bezpieczeństwa Wewnętrznego. Zostali oni powołani postanowieniami z 7 maja 2024 r., 5 lipca 2024 r. oraz 31 stycznia 2025 r. Ich podstawowym zadaniem było ustalenie bezpieczeństwa i funkcjonalności systemu Pegasus.

W toku śledztwa biegli wydali trzy opinie: 18 kwietnia 2025 r. (opinię częściową), 29 czerwca 2026 r. (opinię końcową) oraz 13 lipca 2026 r. (opinię uzupełniającą).

Opinie sporządzono na podstawie analizy obszernej dokumentacji oraz oględzin systemu Pegasus w siedzibie CBA.

Opinie były w całości niejawne (objęte klauzulą „ściśle tajne”).  Zarządzeniem z 26 sierpnia 2026 r. Prokurator Generalny częściowo zniósł klauzulę tajności z określonych fragmentów tych opinii, uznając, że nie stanowią one informacji niejawnych.

Śledztwo

18 marca 2024 r. wszczęto śledztwo dotyczące podejrzenia przekroczenia uprawnień i niedopełnienia obowiązków przez funkcjonariuszy publicznych w związku ze stosowaniem oprogramowania Pegasus.

22 kwietnia 2024 r. Prokurator Generalny Adam Bodnar powołał Zespół Śledczy nr 3 Prokuratury Krajowej do prowadzenia tego postępowania.

Śledztwo obejmuje przede wszystkim trzy wątki: legalność kontroli operacyjnych, sposób pozyskiwania i wykorzystywania informacji oraz bezpieczeństwo i funkcjonalność systemu Pegasus.

Zarzuty

W toku śledztwa zarzuty przedstawiono 7 osobom:

• Ernest B. (były szef CBA), Piotr P. (były szef ABW) i Maciej M. (były szef SKW) – zarzuty niedopełnienia obowiązków w związku z dopuszczeniem do wykorzystywania Pegasusa bez wymaganej akredytacji bezpieczeństwa teleinformatycznego i zapewnienia wymaganej ochrony informacji niejawnych.
   
• Daniel K. (były zastępca szefa CBA) – zarzut bezprawnego przekazania materiałów z kontroli operacyjnej Romana Giertycha, w tym informacji objętych tajemnicą adwokacką i obrończą.
   
• Jarosław W. (były dyrektor Delegatury CBA w Warszawie), Katarzyna S. (była naczelnik Wydziału I Operacyjno-Śledczego Delegatury CBA w Warszawie) i Angela P. (ekspertka tego wydziału) – zarzuty doprowadzenia do bezpodstawnych kontroli operacyjnych, nieuprawnionego pozyskiwania danych oraz wprowadzania w błąd prokuratora i sędziów.

Śledztwo jest kontynuowane. 


prok. Przemysław Nowak
Rzecznik Prasowy
Prokuratury Krajowej