Co to jest Pegasus i dlaczego budzi tak duże emocje?

W ostatnich latach nazwa „Pegasus” pojawia się w mediach wyjątkowo często i zwykle w kontekście głośnych śledztw, polityki oraz bezpieczeństwa cyfrowego. To zaawansowane oprogramowanie szpiegujące, które potrafi przejąć pełną kontrolę nad smartfonem – bez wiedzy użytkownika i często bez jakiejkolwiek jego interakcji.

Spis treści:

1. Co to jest Pegasus?
2. Jak działa Pegasus?
3. Kto stworzył Pegasusa i do czego miał pierwotnie służyć?
4. Jakie dane z telefonu może przejąć Pegasus?
5. Jak wykryto Pegasusa? Rola Citizen Lab i międzynarodowych śledztw
6. Pegasus a bezpieczeństwo smartfonów: dlaczego nawet Apple miało problem?
7. Pegasus w Polsce: komisja śledcza i najważniejsze ustalenia

Co to jest Pegasus?

Pegasus to zaawansowane oprogramowanie szpiegujące stworzone przez izraelską firmę NSO Group, zaprojektowane do przejmowania pełnej kontroli nad zainfekowanym urządzeniem mobilnym – najczęściej smartfonem. System ten miał być narzędziem wspierającym służby specjalne w walce z terroryzmem i przestępczością zorganizowaną, jednak z czasem stał się symbolem nadużyć, niejawnej inwigilacji i największych afer związanych z prywatnością na świecie.

Pegasus umożliwia zdobycie kompletnego dostępu do telefonu bez wiedzy użytkownika. Pozwala m.in. czytać wiadomości, monitorować komunikatory, pobierać hasła zapisane w urządzeniu, śledzić lokalizację, a nawet włączać mikrofon i kamerę w tle, de facto zamieniając smartfon w narzędzie podsłuchowe. To dlatego w przestrzeni publicznej zaczęły pojawiać się pytania o legalność jego stosowania, zakres kontroli, jaką zapewnia, oraz o przypadki osób, które miały paść ofiarą inwigilacji.

To właśnie od ujawnienia sprawy Pegasusa przez organizację Citizen Lab świat dowiedział się, jak potężnym narzędziem stało się to oprogramowanie i jak trudno je wykryć.

Jak działa Pegasus?

Pegasus działa w sposób wyjątkowo zaawansowany i niewidoczny dla użytkownika. Jego infekcja opiera się na wykorzystywaniu tzw. luk zero-day, czyli błędów bezpieczeństwa w systemach operacyjnych (głównie iOS i Android), które nie są jeszcze znane ich producentom. To oznacza, że użytkownik nie ma możliwości ochrony, bo luka nie została jeszcze „załatana”.

W zależności od metody ataku Pegasus może:

• zainfekować urządzenie bez jakiejkolwiek interakcji użytkownika (tzw. zero-click) – wystarczy samo przesłanie sygnału lub pakietu danych przez iMessage, WhatsApp czy inne aplikacje,
• działać poprzez link wysłany w wiadomości SMS lub komunikatorze – kliknięcie powoduje instalację programu,
• przenikać przez luki w sieci lub aplikacjach, wykorzystując słabości zabezpieczeń.

Po infekcji Pegasus ma dostęp do niemal wszystkiego: wiadomości, połączeń, komunikatorów, lokalizacji, e-maili, historii przeglądania, haseł, a nawet potrafi rejestrować dźwięk i obraz. Wszystko to odbywa się w tle, bez ikony, powiadomień czy spadku wydajności, co sprawia, że jego wykrycie jest skrajnie trudne. To właśnie ta niewykrywalność i możliwość pełnego przejęcia funkcji telefonu sprawiły, że Pegasus uznawany jest za jedno z najbardziej niebezpiecznych narzędzi inwigilacyjnych na świecie.

Kto stworzył Pegasusa i do czego miał pierwotnie służyć?

Pegasus został opracowany przez izraelską firmę NSO Group, która oficjalnie deklaruje, że sprzedaje swoje oprogramowanie wyłącznie rządom i służbom specjalnym – wyłącznie w celu prowadzenia działań operacyjno-rozpoznawczych, walki z terroryzmem oraz przestępczością zorganizowaną. System miał wspierać organy ścigania w sytuacjach, gdy tradycyjne metody śledcze okazywały się niewystarczające.

Według deklaracji producenta, Pegasus miał być narzędziem:

• do przechwytywania komunikacji przestępców,
• monitorowania przepływu niebezpiecznych transakcji,
• ustalania lokalizacji osób podejrzanych,
• zapobiegania zamachom i poważnym przestępstwom.

Jednak praktyka pokazała, że wielu użytkowników Pegasusa korzystało z niego w sposób wykraczający poza te cele. Raporty Citizen Lab i innych organizacji badających prawa człowieka wskazały przypadki inwigilacji dziennikarzy, opozycjonistów, aktywistów, prawników, a nawet osób związanych z kampaniami wyborczymi.

Ujawnienia te sprawiły, że Pegasus stał się jedną z najbardziej kontrowersyjnych technologii ostatnich lat i wywołał międzynarodową debatę o legalności, etyce i granicach nadzoru.

Jakie dane z telefonu może przejąć Pegasus?

Po udanej infekcji Pegasus uzyskuje pełny, nieograniczony dostęp do urządzenia mobilnego – w stopniu, którego nie zapewnia żaden inny znany system szpiegowski. Oprogramowanie działa na poziomie systemu operacyjnego, dlatego może przechwytywać informacje zanim zostaną zabezpieczone szyfrowaniem aplikacji.

Pegasus umożliwia m.in.:

• czytanie wszystkich wiadomości – SMS, e-maili, komunikatorów (w tym WhatsApp, Signal, Messenger, iMessage),
• podgląd zapisanych haseł, historii logowań i danych uwierzytelniających,
• monitorowanie połączeń telefonicznych i rejestru połączeń,
• śledzenie lokalizacji urządzenia w czasie rzeczywistym,
• podsłuchiwanie otoczenia poprzez włączanie mikrofonu,
• rejestrowanie obrazu przez aktywację aparatu,
• przeglądanie zdjęć, dokumentów i plików,
• pozyskiwanie danych z innych aplikacji, w tym bankowych czy biznesowych.

Oprogramowanie jest zaprojektowane tak, by działało w sposób niewykrywalny, nie obciążając pracy telefonu i nie wzbudzając podejrzeń użytkownika.

To dlatego jego wykrycie jest tak trudne, a konsekwencje inwigilacji mogą być ogromne: od utraty prywatności, przez przechwycenie wrażliwych danych, po możliwość manipulowania informacjami na urządzeniu.

Jak wykryto Pegasusa? Rola Citizen Lab i międzynarodowych śledztw

O istnieniu Pegasusa świat dowiedział się dzięki pracy Citizen Lab – zespołu badaczy z Uniwersytetu w Toronto zajmującego się bezpieczeństwem cyfrowym i prawami człowieka. To oni jako pierwsi przeanalizowali przypadki podejrzanej aktywności na telefonach aktywistów i dziennikarzy, odkrywając ślady zaawansowanego oprogramowania szpiegowskiego.

Ich analizy ujawniły m.in.:

• techniczne dowody infekcji urządzeń na całym świecie,
• istnienie metod ataku niewymagających interakcji użytkownika („zero-click”),
• powiązania między śledzonymi osobami a zleceniodawcami inwigilacji,
• pierwsze listy nazwisk, które mogły paść ofiarą ataku.

Po publikacji ustaleń Citizen Lab sprawą zaczęły interesować się kolejne organizacje, w tym Amnesty International oraz media z różnych krajów. W efekcie powstały liczne śledztwa dziennikarskie – także w Polsce – ujawniające nowe przypadki inwigilacji przy użyciu Pegasusa. Doprowadziło to do powołania komisji śledczych w wielu państwach, w tym w Polsce, których zadaniem jest zbadanie:

• legalności zakupu Pegasusa,
• sposobu jego użycia,
• zgodności działań służb z prawem,
• oraz tego, czy narzędzie było wykorzystywane do celów politycznych.

Odkrycia te sprawiły, że Pegasus stał się symbolem jednej z największych afer inwigilacyjnych XXI wieku.

Pegasus a bezpieczeństwo smartfonów: dlaczego nawet Apple miało problem?

Pegasus ujawnił coś, co wielu specjalistów podejrzewało od dawna – żaden system operacyjny, nawet iOS, nie jest w 100% odporny na ataki, jeśli wykorzystuje się nieznane wcześniej luki bezpieczeństwa.

Luki zero-day – najcenniejsza broń Pegasusa

Pegasus infekował urządzenia, korzystając z tzw. luk zero-day, czyli błędów w systemach operacyjnych, które nie są jeszcze znane producentom, nie mają dostępnych aktualizacji zabezpieczających oraz nie wymagają interakcji użytkownika (często wystarczało przyjęcie wiadomości iMessage).

W praktyce oznaczało to, że:

• Apple (mimo zaawansowanych zabezpieczeń) nie mogło zawczasu chronić swoich użytkowników,
• Android był jeszcze bardziej narażony ze względu na większą fragmentację systemu,
• użytkownik nie miał możliwości obrony, ponieważ nie wiedział o istnieniu luki.

Apple wielokrotnie publikowało aktualizacje, które „zamykały” konkretne luki wykorzystywane przez Pegasusa, jednak NSO Group regularnie tworzyła nowe metody infekcji. Przypominało to cyfrowy wyścig zbrojeń.

Czy Pegasus działa nadal?

Oficjalnie Apple wprowadziło zabezpieczenia, które utrudniają wykorzystanie znanych już metod infekcji. Jednak eksperci podkreślają, że:

• nowe luki pojawiają się nieustannie,
• oprogramowanie tego typu może istnieć w kolejnych, nowszych wersjach,
• producenci urządzeń często reagują dopiero po ujawnieniu ataków.

Dlatego Pegasus stał się symbolem tego, że nawet najbardziej zaawansowane urządzenia i zabezpieczenia nie eliminują ryzyka, jeśli atakujący dysponuje odpowiednim budżetem, wiedzą i technologią.

Pegasus w Polsce: komisja śledcza i najważniejsze ustalenia

W Polsce sprawa Pegasusa stała się jednym z najbardziej burzliwych tematów polityczno-prawnych ostatnich lat. Debata rozpoczęła się od pytania, czy zakup systemu odbył się zgodnie z prawem, kto tak naprawdę odpowiadał za jego wykorzystanie oraz czy narzędzie było stosowane wobec osób, wobec których istniały podstawy operacyjne – czy może raczej wobec polityków, prawników czy uczestników kampanii wyborczych. Wątpliwości dodatkowo wzmocniła informacja, że zakup miał zostać sfinansowany ze środków Funduszu Sprawiedliwości, który z założenia powinien wspierać ofiary przestępstw, a nie finansować narzędzia do inwigilacji.

W miarę pojawiania się kolejnych ustaleń Citizen Lab i publikacji medialnych powołano komisję śledczą, której zadaniem stało się wyjaśnienie legalności zakupu, sposobu instalacji systemu oraz zasad, według których podejmowano decyzje o inwigilacji. Jednocześnie komisja bada, czy działania służb mieściły się w granicach prawa oraz czy wykorzystywano Pegasusa zgodnie z przeznaczeniem, czy też do celów stricte politycznych.

Do sprawy włączyła się również Najwyższa Izba Kontroli, analizując dokumenty i procedury związane z funkcjonowaniem systemu. Jej ustalenia mogą przesądzić o ocenie, czy naruszono przepisy oraz kto ponosi za to odpowiedzialność. Cała sprawa wywołała szeroką dyskusję o granicach nadzoru państwa, roli służb i ochronie prywatności obywateli i wszystko wskazuje na to, że jeszcze długo pozostanie jednym z najważniejszych sporów dotyczących bezpieczeństwa i nadużyć władzy w Polsce.

Podsumowanie

Pegasus stał się symbolem nowej ery cyfrowej inwigilacji – ery, w której nawet najbezpieczniejsze smartfony mogą zostać przejęte przy użyciu zaawansowanych luk zero-day, bez kliknięcia w link i bez świadomości użytkownika. Oprogramowanie stworzone z myślą o zwalczaniu terroryzmu szybko przekształciło się w narzędzie, którego użycie w wielu krajach budzi ogromne wątpliwości prawne i etyczne.

Dzięki pracy Citizen Lab i dziennikarzy śledczych świat dowiedział się, jak szeroka była skala nadużyć, a kolejne państwa (w tym Polska) powołały komisje śledcze, aby zbadać legalność stosowania systemu oraz zakres inwigilacji obywateli. Sprawa Pegasusa unaoczniła, że bezpieczeństwo cyfrowe nie jest czymś oczywistym, a ochrona danych i prywatności wymaga nieustannej czujności, aktualizacji systemów i świadomości zagrożeń.

Pegasus to nie tylko technologia – to przestroga. Doskonale pokazuje, że rozwój narzędzi cyberinwigilacji wymaga równie dynamicznego rozwoju regulacji prawnych, nadzoru oraz edukacji użytkowników, bo tylko wtedy można realnie chronić prywatność i prawa człowieka w cyfrowym świecie.