Najważniejszy element Pegasusa pozwala na przejęcie kontroli nad telefonem bez wiedzy użytkownika - mówił przed komisją śledczą do spraw Pegasusa specjalista do spraw cyberbezpieczeństwa z Akademii Marynarki Wojennej Jerzy Kosiński. Wyjaśniał, jak działa Pegasus i jak szerokie są jego możliwości. Stwierdził przy tym, że funkcjonujące w Polsce "ramy prawne nie były adekwatne do tego, co takie narzędzie może zrobić".
W piątek odbywa się posiedzenie sejmowej komisji śledczej do spraw Pegasusa. Pierwszym świadkiem, który zeznawał w piątek był specjalista do spraw cyberbezpieczeństwa z Akademii Marynarki Wojennej w Gdyni doktor habilitowany Jerzy Kosiński.
Pytany, czy widział system Pegasus w Polsce, powiedział, że "miał okazję uczestniczyć w prezentacji w kwietniu 2019 roku, prowadzonej przez przedstawicieli NSO Group na terenie Polski". Dodał, że zaproszenie otrzymał "od firmy Matic, z którą współpracował będąc funkcjonariuszem policji".
Mówił, że podczas prezentacji był świadkiem zainfekowania dwóch telefonów - jednego korzystającego z systemu android, a drugiego z IOS. - Przeprowadzaliśmy próby zdalnego nawiązywania połączeń, włączania mikrofonu i prowadzenia nasłuchu oraz zdalnego robienia zdjęć - powiedział.
Podkreślił, że Pegasus "nie wymagał jakiejkolwiek ingerencji i interakcji użytkownika, czyli można było zdalnie zarazić telefon, nie posiadając tego telefonu nawet przez moment w dłoni, nie podłączając się żadnym innym urządzeniem".
- Wszystko, co robimy z telefonu, było możliwe za pośrednictwem Pegasusa do zrobienia. Wszystko, co jest w telefonie, było w zasięgu dysponenta systemu. To, co może zrobić użytkownik, to może zrobić operator Pegasusa, który (telefon - red.) obsługuje - tłumaczył.
Cztery moduły Pegasusa
Wyjaśniał, że "system Pegasus jest narzędziem informatycznym o dosyć złożonej funkcjonalności, ale można powiedzieć, że składa się z kilku charakterystycznych modułów".
- Najważniejszy moduł to jest moduł, który pozwala na przejęcie kontroli nad urządzeniem mobilnym, przejęciem kontroli w sposób niesygnalizujący dla właściciela telefonu, że ta kontrola została utracona. Drugi moduł pozwala na zarządzanie tym, co znajduje się w zasobach tego telefonu. Trzeci moduł przekazuje informacje z przejętego urządzenia na serwer, na urządzenie, które będzie potem wykorzystywane do tego, żeby na nim przechowywać pozyskane informacje. Czwarty to moduł tego użytkownika, tego operatora, który dotrze do tych informacji, ewentualnie będzie zarządzał tym przejętym telefonem - wyjaśniał.
Pegasus może "zasięgać informacje wstecz"
Tłumaczył też, że Pegasus może "zasięgać informacje wstecz". - Jeżeli zwykły użytkownik skasował niektóre SMS-y, to już tych rozmów nie widzi. Natomiast natura funkcjonowania takiego urządzenia jest taka, że skasowanie rozmowy, skasowanie tego przekazu nie jest skasowaniem w bazie danych telefonu. Ten system może zassać taką bazę do tego swojego serwera i wówczas operator może wyciągnąć również te rzeczy, które były wcześniej skasowane, może je obejrzeć - powiedział.
Zaznaczył, że "tak naprawdę zakres tych możliwości będzie zależał w pewnym stopniu od tego, jak licencja została skonstruowana, czyli jakie funkcjonalności akurat w tym konkretnym przypadku zostały dozwolone dla operatora".
Świadek został też zapytany o sposób instalacji oprogramowania. - W odróżnieniu do wielu innych tego typu programów, ten nie jest zapisywany na trwałe w nośniku, tylko jest zapisywany w pamięci operacyjnej. To znaczy, że po wyłączeniu przejętego telefonu trzeba zainfekować go po raz kolejny - wyjaśnił.
Zdaniem Kosińskiego, "ramy prawne nie były adekwatne do tego, co takie narzędzie może zrobić".
Kośiński: zostałem poinformowany, że rektor będzie miał kłopoty, jeśli stanę przed komisją
Posłowie obozu rządzącego pytali Kosińskiego, dlaczego mimo wcześniejszych zapowiedzi nie pojawił się na przesłuchaniu przed senacką komisją do spraw Pegasusa w styczniu 2022 roku.
- Nie stawiłem się na spotkanie komisji, mimo że dostałem zgodę na udział mojego przełożonego i jechałem. Natomiast po drodze zostałem poinformowany, że mój przełożony będzie miał prawdopodobnie kłopoty - powiedział. - Informację otrzymałem w drodze na komisję telefonicznie. Zadzwonił mój kolega profesor (Grzegorz - red.) Krasnodębski, ponieważ wpłynęła informacja, że rektor nie panuje nad swoimi pracownikami - dodał.
Pytany, czy taki "zakaz" i informacja o ewentualnych kłopotach rektora pochodziła od ministra, który nadzorował uczelnię, odparł: - Tak, to jest ktoś, kto był przełożonym rektora Akademii Marynarki Wojennej.
Marcin Przydacz z PiS nieskutecznie próbował zablokować pytania na ten temat, wnosząc do przewodniczącej uchylenie ze względu na "wychodzenie poza zakres prac".
Źródło: TVN24