Pegasus kémszoftver lengyelországi használata
A lengyel Nemzeti Ügyészség nyilvánosságra hozta a belbiztonsági szolgálat (ABW) szakértői vizsgálatának egy részét a Pegasus kémszoftver lengyelországi használatáról. A szakértők szerint a Központi Korrupcióellenes Hivatal (CBA) nem rendelkezett teljes ellenőrzéssel a rendszer felett, bizonyos rendszergazdai fiókok jelszavai nem voltak a birtokában, az eszközök megfertőzéséért felelős szervermodul pedig kizárólag a gyártó ellenőrzése alatt maradt. Ez megakadályozta, hogy a CBA függetlenül ellenőrizhesse a rendszer valamennyi adatkezelési folyamatát.
A Pegasus Android- és iOS-eszközökről a felhasználó tudta nélkül képes volt üzeneteket, e-maileket, hívásokat, névjegyeket, böngészési előzményeket, dokumentumokat, fényképeket és GPS-adatokat megszerezni. A mikrofont és a kamerát távolról aktiválhatta, képernyőképeket készíthetett, és olyan korábbi üzenetekhez is hozzáférhetett, amelyek a megfigyelés megkezdése előtt keletkeztek, de még megtalálhatók voltak a készüléken.
A vizsgálat egyik legfontosabb megállapítása, hogy a megszerzett adatok továbbításakor a forgalom elhagyta Lengyelország területét. A Pegasus egy világszerte elhelyezett szerverekből álló anonimizáló hálózatot használt, amelyet a gyártó üzemeltetett, és amely felett a CBA-nak nem volt ellenőrzése. Az ABW szakértői ehhez használt külföldi IP-címeket is azonosítottak.
A gyártó távoli kapcsolaton keresztül végezte a technikai támogatást és a frissítéseket, miközben az aktív megfigyeléseket nem állították le. A szakértők szerint ez teljes technikai hozzáférést biztosíthatott a rendszerhez, beleértve a konfiguráció és a szoftver módosításának lehetőségét, így elvileg a megfigyelések során megszerzett anyagokhoz is hozzá lehetett férni. A vizsgálat azonban nem állapította meg, hogy a gyártó ténylegesen hozzáfért-e valamely konkrét személy megfigyelési adataihoz.
Az ügyészségi nyomozás 2024 márciusa óta vizsgálja a Pegasus használatának jogszerűségét, az összegyűjtött információk kezelését és magának a rendszernek a biztonságát. Eddig hét korábbi tisztségviselővel szemben emeltek vádat vagy közöltek gyanúsítást, többek között a szükséges információbiztonsági akkreditáció hiánya, jogosulatlan adatgyűjtés és egyes megfigyelések megalapozatlansága miatt.
