Pegasus: są kolejni poszkodowani. Afera zatacza coraz szersze kręgi

Ujawnione przez „Gazetę Wyborczą” i „Die Zeit” informacje o włamaniach na telefony opozycyjnych polityków dowodzą, że skala inwigilacji była znacznie szersza, niż uważano. A jej pełnych rozmiarów możemy nigdy nie poznać.

Posłanka Koalicji Obywatelskiej Magdalena Łośko i prezydent Inowrocławia Ryszard Brejza to kolejne ofiary systemu Pegasus. Dołączają tym samym do szerokiego panteonu postaci związanych z opozycją, których ruchy w świecie cyfrowym i analogowym były dokładnie monitorowane. Przez kogo? Formalnie wciąż nie wiadomo. Oficjalnie w Polsce dostęp do Pegasusa miało tylko CBA. Wywiad i kontrwywiad wojskowy nie były programem specjalnie zainteresowane, obawiając się, że dane zbierane z jego pomocą mogą być przechowywane i wykorzystywane przez obce rządy i służby specjalne.

Rząd PiS konsekwentnie odrzuca zarzuty o inwigilację swoich politycznych przeciwników. Sprawę albo komentuje ogólnikowo, zapewniając, że każde użycie Pegasusa było przeprowadzane za zgodą sądu, albo lekceważy, sprowadzając do rangi absurdu. Na przykład wiceminister sprawiedliwości Michał Woś usiłował wmówić opozycji i dziennikarzom, że jedyny Pegasus, jaki w życiu kupił, to była przestarzała konsola do gier.

Pegasusgate. Inwigilacja przez SMS

Kto kierował inwigilacją, pozostaje na razie tajemnicą. Samo szpiegowanie telefonów jest już jednak faktem. Międzynarodowe śledztwo dziennikarskie, przeprowadzone przez konsorcjum Forbidden Stories, właśnie ujawniło nowe tropy w Pegasusgate. Polskie wątki badały „Gazeta Wyborcza” i niemiecki „Die Zeit”, łącznie w pracach uczestniczyło 17 redakcji z dziesięciu krajów. Dziennikarze, współpracując z ekspertami International Security Lab (komórka Amnesty International), potwierdzili, że telefony Łośko i Brejzy – ojca senatora Krzysztofa Brejzy, także śledzonego przez Pegasusa – zostały zhakowane za pomocą fałszywych reklamowych esemesów.

Oboje otrzymywali wiadomości promocyjne m.in. od sieci sklepów obuwniczych CCC, marek odzieżowych Bytom i 5-10-15, ale też spółki Infor, wydawcy „Dziennika Gazety Prawnej”. Wiadomości były sfabrykowane. A ponieważ oprogramowanie bazuje na technologii „zero-click”, samo odebranie SMS infekuje telefon, powodując, że dane trafiają do operatora systemu.

Ujawnione przez Amnesty International esemesy pokazują, że ktokolwiek odpowiadał za inwigilację, miał dostęp do całej gamy danych osobowych. Wśród wiadomości są też wezwania do zapłaty za rachunki z sieci Play. Posłanka Łośko mówiła, że podana w SMS kwota się zgadzała, tydzień wcześniej taką samą fakturę otrzymała mailem. To dowód, że inwigilacja była trwała i rozłożona w czasie. Osoby operujące Pegasusem na jej telefonie włamały się wcześniej do maila (i wszystkich aplikacji) i prowadziły szczegółowy nadzór. Nie ma mowy o żadnym przypadku.

Zwłaszcza że Łośko i Ryszarda Brejzę łączy osoba Krzysztofa Brejzy, szefa kampanii KO przed wyborami parlamentarnymi w 2019 r. Łośko była przez lata jego współpracowniczką, ojciec jest znanym i aktywnym samorządowcem. Z tej układanki należy wyciągnąć drugi wniosek – że ktokolwiek operował Pegasusem, nie robił tego z chirurgiczną precyzją. Metoda ta przypomina raczej uderzanie w mrówkę młotem. Zamiast działać jednostkowo, szpiegowano całe otoczenie Brejzy juniora. Możliwe więc, że Łośko jest tylko przypadkową ofiarą, a chciano poprzez nią zacieśnić pętlę wokół szefa sztabu KO.

Siedlecka: 33 ataki na telefon Brejzy, czyli wybory 2019 w cieniu Pegasusa

Pegasus o zasięgu globalnym

Śledztwo Forbidden Stories ma globalny zasięg, więc przy okazji ujawniono też inne wątki w aferze. Inwigilacja telefonów z systemem Android za pomocą sfabrykowanych esemesów nie była, jak się okazuje, stosowana tylko w Polsce. Po podobne techniki sięgano w Meksyku i Indiach, w tym pierwszym przypadku ataki były szczególnie szokujące.

Pegasus zainstalowany na telefonie dziennikarza Cecilia Pineda Birty najpewniej doprowadził do zabicia go przez gang przemytników narkotyków, który działał w zmowie z lokalnymi politykami i których powiązania Pineda Birto dekonspirował. W innym przypadku ofierze inwigilacji wysyłano wiadomości o rzekomym poważnym wypadku córki, łącznie z danymi szpitala, w którym się znajduje.

Do wiadomości za każdym razem dołączano link czy multimedium – wystarczyło ją odczytać, czasem nawet nie klikając w załącznik, żeby telefon i dane trafiły w ręce administratorów Pegasusa. Co więcej, techniki te nie są produktem kreatywności służb specjalnych. Izraelska firma NSO Group, producent oprogramowania, oferowała klientom szkolenia z metod podkładania go potencjalnym ofiarom.

Każdy kolejny potwierdzony przypadek inwigilacji odsłania nowe wątki w aferze. I pogłębia przekonanie, że hakowanie odbywało się na gigantyczną skalę na świecie, a dziś znane są najwyżej jej okruchy. Wystarczy popatrzeć na daty: wątek meksykański w wynikach śledztwa Forbidden Stories zawiera sfabrykowane esemesy jeszcze z 2015 r. Wiadomo, że Pegasusa używali przede wszystkim autokraci, ale powszechny był też w krajach, w których nadzór instytucjonalny nad służbami specjalnymi jest relatywnie słaby. Nawet jeśli na papierze są to sprawnie funkcjonujące demokracje, jak Polska czy Węgry, ich mechanizmy kontroli wobec hakowania dziennikarzy czy opozycjonistów okazały się bezradne.

Pegasus. Ile to kosztuje?

Ciekawą wskazówką do zrozumienia rozciągłości procederu w czasie i przestrzeni mogą być same koszty oprogramowania. Oficjalnie polskie władze pozyskały Pegasusa za 33,4 mln zł. Taka suma widnieje w dokumentach Funduszu Sprawiedliwości. Pierwszym polskim klientem NSO była jednak spółka Matic, która zapłaciła 25 mln zł. Łatwo policzyć, że na pośrednictwie w transakcji zarobiła 8 mln zł.

Ważniejsze są jednak sumy na początku i końcu tego dealu. Według cennika ujawnionego w 2016 r. przez „New York Times” NSO życzyło sobie 500 tys. dol. za instalację Pegasusa, następnie 650 tys. za możliwość szpiegowania dziesięciu telefonów niezależnie od systemu operacyjnego. Kolejne sto urządzeń to „jedyne” 800 tys. dol., do tego dochodzą roczne opłaty za utrzymanie systemu i zarządzanie nim.

Do tej pory ujawniono kilkanaście osób poszkodowanych w Polsce. Łatwo policzyć, że cały budżet przeznaczony na Pegasusa nie został zużyty na nie. Pozostaje czekać na kolejne nazwiska – bo na pewno padną.