Pegasus (oprogramowanie szpiegujące)

Pegasus – oprogramowanie szpiegujące przeznaczone do instalacji na systemach iOS i Android opracowane i dystrybuowane przez izraelską firmę NSO Group.

Metoda działania

Zainfekowanie telefonu komórkowego może odbyć się za pośrednictwem jednej z trzech metod. Najczęściej zainfekowanie urządzenia zachodzi poprzez wejście w link przesłany za pośrednictwem poczty elektronicznej. Otwarcie linku rozpoczyna parowanie urządzenia z serwerem, który infekuje urządzenie. Drugi sposób, bazujący na wykorzystaniu komunikatora internetowego, nie wymaga interakcji z linkiem. Wystarcza samo jego wyświetlenie. Trzeci sposób zainfekowania telefonu wykorzystuje połączenie telefoniczne, którego odebranie nie jest konieczne do instalacji Pegasusa (wystarcza samo przesłanie sygnału)[1]. W przypadku iOS Pegasus wykorzystywał proces jailbreakingu, jednak jak zapewnia Apple, od aktualizacji 9.3.5 iOS wykorzystywana luka w zabezpieczeniach została załatana[2]. Po zainfekowaniu urządzenia Pegasus otrzymuje dostęp do wszystkich jego funkcji. Począwszy od lokalizacji, rejestru połączeń, zapisanych haseł, rejestrowania dźwięku (de facto umożliwiając podsłuchiwanie) kończąc na danych przesyłanych za pomocą innych aplikacji (np. Messenger)[3].

Pierwsze wykrycia Pegasusa

Oprogramowanie po raz pierwszy zostało wykryte w 2016 r. Ahmed Mansur – aktywista działający na rzecz ochrony praw człowieka w Zjednoczonych Emiratach Arabskich – otrzymał wiadomość SMS z linkiem, który miał zawierać informacje o przetrzymywaniu i torturach w więzieniach w ZEA[4]. Przed otwarciem linku Mansur poprosił o jego sprawdzenie organizację Citizen Lab. Śledztwo rozpoczęte przez Citizen Lab we współpracy z Lookout – prywatną firmą zajmującą się cyberbezpieczeństwem, ujawniło, że otwarcie linku spowodowałoby zainfekowanie telefonu Mansura oprogramowaniem szpiegującym oraz wskazało jako producenta izraelską firmę NSO Group[5].

Innym skandalem zawierającym wątek Pegasusa było zabójstwo Dżamala Chaszukdżiego – saudyjskiego dziennikarza publikującego m.in. na łamach „The Washington Post”. Edward Snowden wykazał, że Chaszukdżi przez kilka miesięcy przed zamordowaniem był śledzony przy wykorzystaniu Pegasusa[6]. Następne doniesienia informowały o wykorzystywaniu oprogramowania do inwigilacji Indyjskich działaczy społecznych i prawników[7] oraz jako narzędzie w rękach meksykańskich karteli narkotykowych[8]. W 2018 r. Citizen Lab opublikowało raport z własnego śledztwa wykazujący obecność Pegasusa w 45 państwach[9]. W lipcu 2021 r. padło podejrzenie, że prezydent Francji – Emmanuel Macron, był podsłuchiwany przez marokańskie służby poprzez wykorzystanie oprogramowania Pegasus. Oprócz prezydenta Francji na liście potencjalnych celów znalazł się były premier Édouard Philippe, 14 innych ministrów oraz ponad 50 tys. innych numerów telefonów z całego świata potencjalnie narażonych na inwigilację za pośrednictwem Pegasusa[10]. Emmanuel Macron zapowiedział zwołanie specjalnego posiedzenia francuskiej Rady Bezpieczeństwa Narodowego w sprawie Pegasusa[11]. Z 50 tys. narażonych numerów telefonów około tysiąc zostało powiązanych z dziennikarzami mediów takich jak The Wall Street Journal, El País i CNN. Przewodnicząca Komisji Europejskiej Ursula von der Leyen podkreśliła, że inwigilacja dziennikarzy jest niedopuszczalna i wbrew wszelkim zasadom i wartościom Unii Europejskiej[12].

Pegasus w Polsce

Raport Citizen Lab już w 2018 r. wskazywał, że operator o nazwie roboczej ORZELBIALY rozprzestrzeniał Pegasusa, wykorzystując sieci komórkowe należące do Polkomtel, Fiberlink, Orange Polska, T-Mobile Polska, PROSAT, Vectra i Netia[9]. Sposób działania Pegasusa nie wymaga jednak zgody operatorów telekomunikacyjnych na rozprzestrzenianie przy użyciu ich sieci[13]. W 2018 r. Najwyższa Izba Kontroli w komunikacie prasowym wykazała, że Centralne Biuro Antykorupcyjne otrzymało 25 mln zł od Ministerstwa Sprawiedliwości ze środków pochodzących z Funduszu Sprawiedliwości[14]. W 2019 r. dziennikarskie śledztwo reporterów programu Czarno na białym powiązało kwotę przekazaną CBA z zakupem za pośrednictwem jednej z warszawskich firm informatycznych oprogramowania do inwigilacji[15]. Z prośbą o wyjaśnienia do Sejmowej Komisji ds. Służb Specjalnych i premiera wystąpił Rzecznik Praw Obywatelskich[16]. W odpowiedzi Sekretarz Kolegium ds. Służb Specjalnych określił zarzuty RPO jako bezpodstawne, nie odnosząc się do samego potencjalnego zakupu Pegasusa przez CBA[17]. W krótkim oświadczeniu CBA zaprzeczyło zakupowi „systemu masowej inwigilacji Polaków”[18]. 16 października 2019 w sprawie zakupu Pegasusa odbyło się zamknięte posiedzenie Sejmowej Komisji ds. Służb Specjalnych[19]. Komisja nie skorzystała z przysługującego jej prawa[20] do sporządzenia komunikatu dla mediów z posiedzenia.

W 2020 r. dziennikarze „Rzeczypospolitej” ustalili, że system Pegasus był wykorzystany do zatrzymania przez CBA byłego ministra Sławomira Nowaka[21]. Z racji na pracę Nowaka w sztabie wyborczym opozycyjnego kandydata na Prezydenta RP Rafała Trzaskowskiego dziennikarze i środowiska opozycyjne zwrócili uwagę na możliwość inwigilacji sztabu Rafała Trzaskowskiego podczas kampanii wyborczej[22]. W odpowiedzi Minister Koordynator Służb Specjalnych Mariusz Kamiński nie potwierdził wykorzystania Pegasusa oraz zaprzeczył inwigilacji sztabu opozycji[23]. W lipcu 2021 r. wraz z aferą dotyczącą inwigilacji prezydenta Francji została opublikowana lista stron internetowych potencjalnie wykorzystywanych do rozprzestrzeniania. Wśród 1406 opublikowanych adresów dwa wskazują na polską stronę internetową emonitoring-przesylek oraz e-prokuror.info[24][25].

Sprawa zakupu i wykorzystania przez CBA systemu Pegasus ożywiła w Polsce dyskusję nad wydolnością systemu kontroli i nadzoru nad służbami specjalnymi. W 2019 r. z inicjatywy Rzecznika Praw Obywatelskich zespół ekspertów złożony z przedstawicieli organizacji pozarządowych, byłych polityków i funkcjonariuszy przygotował raport Osiodłać Pegaza wskazujący na archaiczność polskiego systemu nadzoru i kontroli nad służbami oraz postulujący utworzenie niezależnego organu kontroli[26]. Kontrowersje związane z ujawnionym przez Citizen Lab zakupem i używaniem programu Pegasus w czasie rządów Prawa i Sprawiedliwości doprowadziły do powołania 12 stycznia 2022 nadzwyczajnej komisji senackiej ds. nielegalnej inwigilacji[27].

Przypisy

  1. ↑ Jakub Krawczyński, Pegasus – wszystko, co powinniście wiedzieć o systemie szpiegującym, Dobre Programy, 23 lipca 2020.
  2. ↑ Juli Clover, Apple Releases iOS 9.3.5 With Fix for Three Critical Vulnerabilities Exploited by Hacking Group, MacRumors, 25 sierpnia 2016.
  3. ↑ Tomasz Mileszko, Nieoficjalne: Pegasus podsłuchiwał byłego ministra Nowaka. Co wiemy o systemie inwigilacji absolutnej?, Komputer Świat, 23 lipca 2020.
  4. ↑ Dave Lee, Who are the hackers who cracked the iPhone?, BBC, 26 sierpnia 2016.
  5. ↑ Amitai Ziv, Israeli Cyberattack Firm NSO Bought Back by Founders at $1b Company Value, Haaretz, 14 lutego 2019.
  6. ↑ Rosie Perper, Edward Snowden: Israeli spyware was used to track and eventually kill Jamal Khashoggi, Business Insider, 9 grudnia 2019.
  7. ↑ Sukanya Shantha, Indian Activists, Lawyers Were ‘Targeted’ Using Israeli Spyware Pegasus, the Wire, 31 października 2019.
  8. ↑ ‘It’s a free-for-all’: how hi-tech spyware ends up in the hands of Mexico’s cartels, the Guardian, 7 listopada 2020.
  9. ↑ a b Bill Marczak i inni, HIDE AND SEEK Tracking NSO Group’s Pegasus Spyware to Operations in 45 Countries, „Citizen Lab Research Report No. 113”, University of Toronto, 18 września 2018.
  10. ↑ Emmanuel Macron na liście celów inwigilacji Pegasusem – CyberDefence24, cyberdefence24.pl [dostęp 2021-07-22].
  11. ↑ Jordan Hansen, France: Macron held the National Security Council meeting on the Pegasus deal, R&R Magazine, 22 lipca 2021 [dostęp 2021-07-22] (ang.).
  12. ↑ 'It is completely unacceptable’: Europe responds to Pegasus spyware controversy, newseu.cgtn.com [dostęp 2021-07-22] (ang.).
  13. ↑ Jak wygląda rządowy trojan PEGASUS z którego korzysta CBA od środka?, Niebezpiecznik, 2 grudnia 2019.
  14. ↑ Pomoc z Funduszu Pomocy Pokrzywdzonym nie dla pokrzywdzonych, Najwyższa Izba Kontroli, 29 czerwca 2018.
  15. ↑ Robert Zieliński, System do inwigilacji za 25 milionów pochodzących z Funduszu Sprawiedliwości, TVN24, 3 września 2019.
  16. ↑ RPO ma wątpliwości dotyczące zakupu przez Centralne Biuro Antykorupcyjne systemu Pegasus, Biuro Rzecznika Praw Obywatelskich, 13 września 2019.
  17. ↑ Odpowiedź rządu na wystąpienie RPO milczy nt. Pegasusa, Biuro Rzecznika Praw Obywatelskich, 3 października 2019.
  18. ↑ Oświadczenie CBA, 4 września 2019.
  19. ↑ Komisja do Spraw Służb Specjalnych (KSS), sejm.gov.pl [dostęp 2021-06-07].
  20. ↑ Uchwała Sejmu Rzeczypospolitej Polskiej z dnia 30 lipca 1992 r. Regulamin Sejmu Rzeczypospolitej Polskiej (M. P. z 2019 r., poz. 1028, z późn. zm.) art. 141 ust. 3.
  21. ↑ Grażyna Zawadzka, Izabela Kacprzak, Nowak nie był podsłuchiwany podczas kampanii wyborczej, Rzeczpospolita, 24 lipca 2020.
  22. ↑ Sprawa Nowaka pretekstem do inwigilacji sztabu Trzaskowskiego? Kamiński odpowiada na tezy Budki, Wprost, 23 lipca 2020.
  23. ↑ Trzaskowski: Rządzący mówią, że nie było inwigilowania członków sztabu. Zobaczymy, TVN24, 27 lipca 2020.
  24. ↑ Wyciekła lista 50 000 ofiar Pegasusa, NieBezpiecznik.pl [dostęp 2021-07-22].
  25. ↑ Pełna lista witryn internetowych potencjalnie wykorzystywanych do rozprzestrzeniania Pegasusa opublikowana na githubie.
  26. ↑ Osiodłać Pegaza. Powołajmy niezależną instytucję do nadzoru służb specjalnych. Propozycja Rzecznika Praw Obywatelskich i grupy ekspertów, Biuro Rzecznika Praw Obywatelskich, 23 września 2019.
  27. ↑ https://www.senat.gov.pl/aktualnoscilista/art,14463,w-senacie-powstala-komisja-nadzwyczajna-ds-inwigilacji.html.

Linki zewnętrzne