Analiza przeprowadzona przez Amnesty International powiązała je z wyciekiem ponad 50 000 numerów telefonów w ramach projektu Pegasus
Oczekuje się, że stosowanie inwazyjnego oprogramowania szpiegowskiego przez członków Unii Europejskiej zostanie poddane nowej kontroli po ujawnieniu, że telefony komórkowe dwóch kolejnych obywateli Polski blisko związanych z opozycyjnym senatorem były namierzone przez klienta NSO Group, jak twierdzą eksperci ds. bezpieczeństwa.
Analiza kryminalistyczna przeprowadzona przez Amnesty International wykazała, że zarówno Magdalena Łośko, była asystentka polskiego senatora Krzysztofa Brejzy, jak i ojciec Brejzy, Ryszard Brejza, otrzymali w 2019 r. wiadomości tekstowe, które zdaniem badaczy były technicznie zgodne z atakami spyware przeprowadzonymi przez klientów NSO Group przy użyciu Pegasusa.
W obu przypadkach czas namierzania pasował do pojawienia się numerów telefonów komórkowych Łośko i Ryszarda Brejzy w wyciekłej bazie danych w sercu Projektu Pegaz, śledztwa w sprawie NSO Group prowadzonego przez konsorcjum medialne, w tym Guardiana, Wyborczą i Die Zeit, koordynowane przez francuską grupę non-profit Forbidden Stories.
Wyciek danych to lista ponad 50 tys. numerów telefonów, które – jak się uważa – od 2016 roku zostały wytypowane jako osoby, którymi interesują się rządowi klienci NSO Group. Konsorcjum uważa, że dane wskazują potencjalne cele, które klienci rządowi NSO zidentyfikowali z wyprzedzeniem przed ewentualną inwigilacją. Obecność numeru telefonu danej osoby w bazie danych nie oznacza, że telefon komórkowy został zhakowany. NSO stanowczo zaprzeczyło, że dane te mają jakikolwiek związek z izraelską firmą i powiedziało, że numery telefonów na liście nie są celem klientów NSO.
Po udanym wdrożeniu Pegasus może infiltrować telefon komórkowy, dając użytkownikowi oprogramowania szpiegowskiego pełny dostęp do rozmów telefonicznych, wiadomości tekstowych, zaszyfrowanych wiadomości i zdjęć. Może śledzić lokalizację użytkownika telefonu komórkowego i zamienić telefon w urządzenie do zdalnego podsłuchu.
Wykorzystanie Pegasusa przez polskie władze po raz pierwszy wyszło na jaw w grudniu 2021 r., po tym jak Associated Press, we współpracy z badaczami z Citizen Lab na Uniwersytecie w Toronto, poinformowała, że Pegasus – oprogramowanie szpiegowskie NSO Group – został użyty wobec co najmniej trzech osób, w tym Krzysztofa Brejzy. W jego przypadku analiza kryminalistyczna jego telefonu komórkowego wykazała, że został on wielokrotnie skompromitowany w 2019 r., gdy prowadził kampanię wyborczą opozycyjnej partii Platforma Obywatelska. Ataki ustały kilka dni po głosowaniu.
Nowe rewelacje Pegasus Project wskazują, że klient NSO Group również starał się zhakować co najmniej dwie osoby bliskie Brejzie. Laboratorium bezpieczeństwa Amnesty International odkryło, że cztery podejrzane wiadomości tekstowe zostały wysłane do Łośko w kwietniu 2019 roku, kiedy prowadziła kampanię Brejzy do Parlamentu Europejskiego. Amnesty znalazła 10 podejrzanych wiadomości tekstowych na telefonie komórkowym Ryszarda Brejzy między lipcem a sierpniem 2019 roku.
Amnesty stwierdziła, że w obu przypadkach wiadomości SMS kierowały odbiorcę do stron internetowych, które zostały utworzone przed atakami w 2019 roku i nie są już aktywne. Dostępne dowody kryminalistyczne nie pozwoliły badaczom bezpieczeństwa potwierdzić, czy próby zhakowania albo Łośko, albo Ryszarda Brejzy zakończyły się sukcesem.
Polskie Centralne Biuro Antykorupcyjne, CBA, kupiło Pegaza w 2017 roku, wykorzystując środki z Ministerstwa Sprawiedliwości, zgodnie z dokumentami przedstawionymi podczas przesłuchania w polskim senacie przez byłego szefa Narodowego Biura Audytu.
CBA odmówiło wcześniej potwierdzenia, czy używało Pegasusa przeciwko jakimkolwiek osobom, ale powiedziało, że każde użycie tego narzędzia nadzoru uzyskałoby wymagane prawem zgody.
Rzecznik polskich służb specjalnych w odpowiedzi na prośbę o komentarz projektu Pegaz powiedział, że nie może komentować doniesień o metodach “pracy operacyjnej” i nie komentuje, czy konkretne osoby zostały poddane metodom “pracy operacyjnej”. Rzecznik powiedział, że wszelkie zarzuty, jakoby metody inwigilacji były stosowane wobec osób fizycznych dla “celów politycznych”, są nieprawdziwe.
NSO Group w oświadczeniu stwierdziła: “Nie odnosząc się do żadnego konkretnego klienta rządowego, niewłaściwe wykorzystanie narzędzi cyberwywiadu jest poważną sprawą i wszystkie wiarygodne zarzuty są natychmiast badane. Niestety, szereg organizacji o wyraźnych celach politycznych nadal publikuje tendencyjne, niedokładne i niekompletne raporty oparte na znikomych, jeśli w ogóle, dowodach. Jak wielokrotnie stwierdzono, NSO nie obsługuje technologii i nie ma dostępu do zebranych danych. Firma nie wie i nie może wiedzieć, kto jest celem klientów.”
Firma wcześniej powiedziała, że jej klienci mogą używać jej oprogramowania szpiegowskiego tylko do namierzania przestępców i terrorystów.
Firma stoi w obliczu intensywnej presji w Parlamencie Europejskim, gdzie obserwator danych bloku doradził, że korzystanie z Pegasusa powinno być zakazane ze względu na jego moc wnikania w życie swoich celów.
W wywiadach dla Pegasus Project, Ryszard Brejza opisał, że był wstrząśnięty wiadomością, że jego telefon komórkowy został namierzony za pomocą inwazyjnego oprogramowania szpiegującego, zwłaszcza że podejrzane wiadomości tekstowe, które otrzymywał, były dostosowane do jego osobistych zainteresowań. W jednym przypadku otrzymał on wiadomości zawierające podejrzaną domenę powiązaną z Pegasusem, reklamującą domek letniskowy nad Morzem Bałtyckim, w czasie, gdy zamierzał wyjechać na wakacje na wybrzeże Bałtyku.
Łośko, która obecnie jest posłem na Sejm RP, otrzymała w 2019 r. podejrzane wiadomości SMS dotyczące zastraszania, które, jak twierdzą obecnie badacze, są powiązane z Pegasusem. Chociaż nigdy nie szukała raportów na temat mobbingu, Łośko przypomniała sobie, że w tym czasie prowadziła rozmowy na temat mobbingu.
W oświadczeniu Amnesty powiedziała: “Te nowe ustalenia zwiększają obawy, nie tylko dla polityków, ale dla całego społeczeństwa obywatelskiego w Polsce w ogóle, szczególnie biorąc pod uwagę kontekst rekordu rządu w uporczywym obalaniu praw człowieka i rządów prawa”.