To już nie polityka, to cyberpunk. Pegasus jest używany jako broń w wojnie korporacji
O izraelskim narzędziu inwigilacyjnym o nazwie Pegasus było głośno za sprawą skandalicznych praktyk podsłuchiwania polityków polskiej opozycji przez rząd. Tymczasem według najnowszego raportu podsłuchiwane są przede wszystkim Bardzo Ważne Osoby z sektora prywatnego. Korporacje łamią prawo i prowadzą własne ciche wojny, które coraz mniej różnią się od działań szpiegowskich między rywalizującymi korporacjami.

Jak informuje firma iVerify, zapewniająca narzędzie potrafiące z całkiem wysokim prawdopodobieństwem wykryć złośliwe oprogramowanie Pegasus, tylko w grudniu minionego roku na 18 tys. klientów z całego świata wykryto 11 nowych zarażeń Pegasusem.
Należy przy tym dodać, że autorzy raportu sami przyznają, że ich sprzedawana za jednego dolara aplikacja nie gwarantuje wykrycia niechcianego szpiega - w teorii tych infekcji mogłoby być więc więcej. Firma zauważa jednak, że jest w stanie wykryć z dwukrotnie wyższą skutecznością obecność Pegasusa w telefonie niż obecny w urządzeniach Apple’a mechanizm Threat Notifications. 50 proc. przypadków wykrycia przez iVerify to przypadki, w których oprogramowanie Apple’a pozostawało bezradne.
Uwaga, ważne:
Pegasus jest nie do zdarcia. Rywalizujące korporacje już o tym wiedzą
iVerify zauważa też, że Pegasus potrafi przetrwać nawet aktualizację systemu operacyjnego. Liczne wykryte przypadki z ostatniego grudnia to infekcje, jakie miały miejsce nawet i w 2021 r. Ofiarami nie są jednak politycy, jak mogłoby się to kojarzyć w związku z wydarzeniami w Polsce.
iVerify nie podaje szczegółowych danych w trosce o prywatność swoich klientów, ale zaznacza, że większość przypadków wskazuje na szpiegostwo przemysłowe ze źródłem w sektorze prywatnym. Innymi słowy, rywalizujące firmy próbują wykorzystywać to narzędzie szpiegowskie do zakulisowych i nielegalnych działań względem konkurencji. Niczym w literaturze science-fiction z gatunku cyberpunk.
Pegasus kontra świat. Jakim cudem tak groźne narzędzie jest w rękach podejrzanych podmiotów?
W ciągu ostatniej dekady oprogramowanie Pegasus firmy NSO Group stało się synonimem cyfrowej inwigilacji na niespotykaną skalę. Analiza ujawnionych przypadków pokazuje, że narzędzie pierwotnie projektowane do walki z terroryzmem i zorganizowaną przestępczością zostało przekształcone w broń politycznej kontroli. W Polsce afera Pegasusa odsłoniła systemową nadużycia służb specjalnych, gdzie co najmniej 578 osób - w tym liderzy opozycji, sędziowie i dziennikarze - stało się celami zaawansowanego szpiegostwa. Globalnie, od Meksyku po Arabię Saudyjską, technologia ta była wykorzystywana do tłumienia dysydentów, jak w przypadku zamordowanego dziennikarza Jamala Khashoggiego. Parlament Europejski w swoim raporcie porównał skalę nadużyć do afery Watergate, podkreślając szczególną rolę Polski i Węgier w politycznym wykorzystaniu systemu.
Pegasus reprezentuje szczytowe osiągnięcie w dziedzinie cyberszpiegostwa, wykorzystując exploity zero-day i zaawansowane techniki inżynierii społecznej. Jak wykazały analizy Citizen Lab, oprogramowanie potrafi przejąć pełną kontrolę nad urządzeniem poprzez eksploitację luk w łańcuchu dostaw (np. fałszywe aktualizacje systemowe), ataki zero-click przez iMessage lub WhatsApp (nie wymagające interakcji użytkownika) i geofencing, czyli automatyczną aktywację przy wykryciu określonej lokalizacji.
W przypadku Polski szczególnie niepokojące okazało się integrowanie Pegasusa z krajową infrastrukturą telekomunikacyjną. Raporty wskazują, że służby wykorzystywały tzw. bramki SMS operatorów komórkowych do dystrybucji złośliwych łączy.
Według danych ujawnionych przez Pegasus Project, lista potencjalnych celów obejmowała ponad 50 tys. numerów telefonów w 45 krajach
W samym Meksyku zidentyfikowano 15 tys. celów, podczas gdy w Polsce - jak ujawnił Prokurator Generalny Adam Bodnar - liczba ta sięgnęła 578 osób w latach 2017-2022. Analiza czasowa pokazuje korelację między wzmożoną aktywnością szpiegowską a kluczowymi wydarzeniami politycznymi, takimi jak wybory parlamentarne w 2019 r.
Polski system kontroli operacyjnej, teoretycznie chroniony przez wymóg sądowej autoryzacji, okazał się fasadą dla masowej inwigilacji. Jak wskazują źródła, w latach 2010-2020 sądy odrzucały jedynie 0,5 proc. wniosków o podsłuch. Prokurator Ewa Wrzosek ujawniła, że służby wykorzystywały lukę prawną - art. 19 ustawy o CBA - pozwalający na utrwalanie treści rozmów w miejscach publicznych bez pełnej kontroli sądowej. W praktyce oznaczało to możliwość nieograniczonego dostępu do kamer i mikrofonów w telefonach.
Wykaz osób potwierdzonych jako cele ataków Pegasusem w Polsce obejmuje:
- Krzysztofa Brejzę - senatora KO, którego telefon był infekowany 33 razy podczas kampanii 2019 r. Zebrane dane posłużyły do stworzenia fałszywego narracji o niestabilności psychicznej w mediach publicznych.
- Romana Giertycha - adwokata broniącego opozycjonistów w sądach dyscyplinarnych, którego komunikacja z klientami była monitorowana.
- Ewę Wrzosek - prokurator krytykująca reformy wymiaru sprawiedliwości, której lokalizacja była śledzona w czasie rzeczywistym.
Szczególnie niepokojący jest przypadek Magdaleny Łośko, asystentki Brejzy, której telefon atakowano 61 razy w latach 2018-2019 - to rekordowa liczba w skali globalnej.
Komisja Śledcza Parlamentu Europejskiego jednoznacznie powiązała użycie Pegasusa z systemowym demontażem praworządności pod rządami partii PiS. Wykorzystanie technologii do kradzieży strategii wyborczych opozycji, kompromitacji przeciwników politycznych poprzez ujawnianie informacji osobistych oraz inwigilacji sędziów niezależnych od władzy stworzyło bezprecedensową asymetrię w polskiej demokracji. Raport z września 2023 r. stwierdził, że wybory 2019 r. nie spełniały standardów uczciwości ze względu na skalę szpiegostwa.
Pegasus Project ujawnił infekcje na telefonach:
- Emmanuela Macrona (prezydent Francji)
- Cyrila Ramaphosy (prezydent RPA)
- U doradców Joe’a Bidena
W konflikcie o Górski Karabach Azerbejdżan wykorzystał Pegasusa przeciwko rzecznikowi praw człowieka Armenii, dziennikarzom Radia Wolna Europa oraz przedstawicielom ONZ. Był to pierwszy udokumentowany przypadek użycia systemu w aktywnym konflikcie zbrojnym.
Europa i Polska pozostają bezradne
Unijne rozporządzenie ePrivacy z 2002 r. całkowicie się dezaktualizuje, jeśli tylko spojrzeć na możliwości Pegasusa. Próby wprowadzenia zakazu przez Parlament Europejski (2022) napotykają na opór krajów rozwijających przemysł cyberwywiadu, takich jak Cypr czy Bułgaria.
W Polsce nowelizacja ustawy o służbach specjalnych z marca 2024 wprowadziła wymóg dwustopniowej kontroli sądowej dla kontroli urządzeń końcowych oraz okresowego audytu technologii przez niezależnych ekspertów. Jednak brak retroaktywnych przepisów utrudnia ściganie wcześniejszych nadużyć.
Niestety przypadek NSO Group pokazuje, że nawet prywatne firmy mogą destabilizować stosunki międzynarodowe - izraelsko-marokański konflikt dyplomatyczny po inwigilacji króla Mohammeda VI jest tego jaskrawym przykładem. Przede wszystkim jednak należy zdać sobie sprawę, że dla możnych tego świata - w tym dla przedstawicieli wielkich korporacji, w tym Big Tech - prawo to tylko swego rodzaju sugestia. A nie coś, czego należy pilnie przestrzegać.