Pegasus jest platformą komercyjnej inwigilacji rozwijaną przez NSO Group. Jej zasadniczą funkcją nie jest podsłuch łącza operatora, lecz uzyskanie dostępu do wskazanego urządzenia końcowego. Dzięki temu narzędzie może docierać do danych przed szyfrowaniem albo po odszyfrowaniu przez aplikację.

NSO deklaruje, że produkt jest przeznaczony dla państwowych organów ścigania i służb wywiadowczych do zwalczania poważnej przestępczości i terroryzmu. Jest to deklarowany cel i model licencjonowania, nie dowód legalności każdego użycia. Zakres techniczny trzeba ustalać z dokumentacji, analiz urządzeń i materiałów ujawnionych w postępowaniach sądowych.

Czym Pegasus nie jest

Pegasus nie jest jednym podsłuchem zakładanym u operatora, nie jest publicznym rejestrem i nie jest nazwą każdego zdalnego włamania do telefonu. Nie należy również utożsamiać NSO Group, produktu Pegasus, infrastruktury konkretnego klienta i osoby obsługującej zadanie.

Szyfrowanie komunikatora chroni transmisję między końcami. Nie chroni wiadomości wyświetlanej na przejętym końcu. To wyjaśnia, dlaczego dostęp do urządzenia może ujawnić komunikację, mimo że nie złamano protokołu szyfrującego.

Deklarowany cel producenta

W raportach przejrzystości NSO opisuje model sprzedaży wyłącznie instytucjom państwowym oraz użycie przeciw z góry określonym celom związanym z poważną przestępczością, terroryzmem, handlem ludźmi, wykorzystywaniem dzieci i porwaniami. Firma przedstawia Pegasus jako narzędzie ukierunkowane, a nie system masowego przechwytywania całej sieci.

Taką deklarację trzeba cytować z przypisaniem. Producent zna funkcje produktu i procedury sprzedaży, ale pozostaje zainteresowaną stroną. Niezależne raporty techniczne, ustalenia sądowe i audyt klienta służą do sprawdzenia, czy ograniczenia były faktyczne i skuteczne.

Architektura funkcjonalna

Materiały techniczne opisują kilka warstw: konsolę klienta, infrastrukturę dostarczenia, serwery pośredniczące, komponent działający na urządzeniu, kanał przekazywania danych oraz środowisko przechowania i analizy. Dokładny układ zmieniał się z wersjami i wdrożeniami.

Amnesty Security Lab, analizując dokumenty ujawnione w sporze WhatsApp z NSO, wskazało podział odpowiedzialności: klient operuje panelem i lokalnym środowiskiem, a dostawca buduje oraz utrzymuje istotne elementy łańcucha exploitów, anonimizacji i transferu. Stwierdzenie „system jest u klienta” nie znaczy więc, że dostawca nie uczestniczy technicznie w działaniu platformy.

Nie każda domena w infrastrukturze jest serwerem z danymi ofiar. Nie każdy serwer klienta dostarcza exploit. Atrybucja wymaga rozpoznania roli węzła, czasu aktywności i powiązań z innymi wskaźnikami.

Pegasus Anonymizing Transmission Network

Nazwa Pegasus Anonymizing Transmission Network (PATN) była używana w materiałach NSO na określenie sieci węzłów pośredniczących przypisanej do klienta. Jej zadaniem było przekazywanie ruchu pomiędzy urządzeniem celu a dalszymi komponentami Pegasusa bez ujawniania urządzeniu — ani obserwatorowi pojedynczego połączenia — bezpośredniego adresu infrastruktury klienta. W opisywanych publicznie generacjach przez PATN prowadziła droga do serwera instalacyjnego, a po infekcji także kanał łączący agenta z infrastrukturą odbioru. Citizen Lab opisywał łańcuch serwerów proxy, natomiast nowsza rekonstrukcja Amnesty Security Lab określa PATN jako niestandardową sieć VPN utrzymywaną w ramach usług dostawcy.

PATN nie anonimizowało treści już zapisanej w panelu i nie zmieniało statusu prawnego pozyskania. Była to warstwa separująca publicznie widoczne punkty wejścia od serwerów końcowych oraz utrudniająca przypisanie ruchu do konkretnego klienta. Analiza Payload z 2021 r. pokazuje historyczne schematy tej architektury i trafnie wyodrębnia PATN jako składnik odmienny od exploitów, licencji, wsparcia i kompetencji operatorów. Jej rozważania o możliwości zastąpienia poszczególnych elementów są jednak rekonstrukcją redakcji, a nie dokumentacją faktycznego polskiego wdrożenia ani dowodem, że system mógł działać samodzielnie po odcięciu usług NSO.

Autorski schemat funkcjonalny PATN na podstawie publicznych opisów Amnesty Security Lab, Citizen Lab i historycznej analizy Payload. Nie przedstawia topologii konkretnego wdrożenia; rozdziela jedynie urządzenie, publiczną warstwę pośredniczącą, środowisko klienta i zaplecze dostawcy.
Autorski schemat funkcjonalny PATN na podstawie publicznych opisów Amnesty Security Lab, Citizen Lab i historycznej analizy Payload. Nie przedstawia topologii konkretnego wdrożenia; rozdziela jedynie urządzenie, publiczną warstwę pośredniczącą, środowisko klienta i zaplecze dostawcy.

Wskazanie celu

Według deklaracji NSO operator wskazuje pojedynczy, wcześniej zidentyfikowany numer albo inny identyfikator. System nie powinien sam wybierać osób na podstawie cech politycznych czy społecznych. W praktyce siła kontroli zależy od dokumentu autoryzacji oraz logu pokazującego, kto i kiedy dodał cel.

Numer telefonu nie zawsze jednoznacznie identyfikuje użytkownika. Karta może być współdzielona, urządzenie odsprzedane, numer przeniesiony, a komunikator powiązany z innym profilem. Przed zadaniem potrzebna jest weryfikacja aktualnego związku identyfikatora z osobą.

Lista numerów zainteresowania nie jest listą skutecznie zainfekowanych urządzeń. Może obejmować cele rozważane, wprowadzone, testowane lub nieskuteczne. Raport musi rozdzielić te stany.

Dostarczenie bez interakcji i z interakcją

W kampaniach Pegasusa obserwowano zarówno mechanizmy wymagające kliknięcia, jak i łańcuchy zero-click wykorzystujące automatyczne przetwarzanie przychodzących danych. Citizen Lab opisał m.in. FORCEDENTRY i późniejsze łańcuchy dotyczące usług Apple. Nazwa łańcucha identyfikuje badane zachowanie, nie uniwersalną funkcję każdej wersji.

Zero-click oznacza brak wymaganej świadomej czynności osoby atakowanej. Nie oznacza braku transmisji, artefaktów, podatności ani możliwości wykrycia. Skuteczność zależy od modelu urządzenia, systemu, wersji, konfiguracji i stanu poprawki.

Artykuł nie podaje parametrów wykonania ataku. Z perspektywy dowodowej wystarczają pytania o czas próby, wersję łańcucha, komunikat powodzenia, identyfikator celu i artefakty na urządzeniu.

Dane dostępne po przejęciu końca

Publiczne analizy i materiały NSO wiążą Pegasus z dostępem do wiadomości, kontaktów, historii połączeń, poczty, plików, zdjęć, lokalizacji oraz wybranych sensorów urządzenia. Zakres zależy od platformy, uprawnień i załadowanych modułów.

„Dostęp do komunikatora” może oznaczać odczyt jego lokalnej bazy, przechwytywanie powiadomień, obserwację interfejsu albo wykorzystanie aktywnej sesji. Te mechanizmy pozostawiają różne ślady i dają różny zakres danych. Raport powinien nazywać mechanizm, jeśli da się go ustalić.

Aktywacja mikrofonu tworzy materiał innego rodzaju niż rozmowa telefoniczna przechwycona w sieci. Konieczne są dane o czasie, poleceniu, ciągłości nagrania i warunkach urządzenia. Sam plik audio nie wskazuje miejsca ani wszystkich obecnych osób.

Publiczny arkusz porównawczy platform inwigilacyjnych opracowany przez Tomasza Klima zestawia m.in. Pegasusa, DevilsTongue/Candiru, Predatora, Hermita, FinFishera i rozwiązania Hacking Team. Porządkuje deklarowane albo opisywane funkcje według systemu operacyjnego, sposobu dostarczenia, możliwości po instalacji, infrastruktury sterującej i interfejsu operatora. Jest użytecznym indeksem do dalszej weryfikacji, lecz nie aktualną kartą katalogową: większość wpisów była aktualizowana w latach 2021–2022, część pól zawiera pytajniki, szacunki lub dane z materiałów marketingowych.

Pierwotni użytkownicy

Prowadzący sprawę uzasadnia cel oraz oczekiwany związek danych z czynem. Operator techniczny wprowadza zadanie i obserwuje jego wykonanie. Analityk przegląda wynik, filtruje, opisuje osoby i buduje chronologię. Administrator utrzymuje role, serwery, retencję i kopie. Producent lub integrator aktualizuje komponenty i reaguje na problemy.

Role powinny być rozdzielone. Osoba zatwierdzająca cel nie powinna usuwać logów, a administrator nie powinien przeglądać treści bez potrzeby. Konto wspólne uniemożliwia wykazanie, kto wykonał eksport lub zmianę ustawień.

Sąd i prokurator potrzebują materiału bardziej pierwotnego niż wydruk z panelu. Kontrolują podstawę, zakres, daty, związek identyfikatora z osobą oraz sposób postępowania z tajemnicami i danymi osób trzecich.

Panel nie jest urządzeniem

Widok analityczny może porządkować osoby, wiadomości i lokalizacje w przyjazne osie czasu. Jest jednak produktem transformacji. Może normalizować strefy czasowe, usuwać duplikaty, skracać treść i nadawać etykiety.

Eksport powinien zawierać identyfikator zadania, źródłowy typ obiektu, surowe znaczniki, wersję narzędzia i historię filtrów. Zrzut ekranu nie pozwala sprawdzić, czy element był częścią pełnego zbioru i czy kolejność wynikała z danych, czy interfejsu.

Nazwy kontaktów bywają lokalnymi etykietami zapisanymi przez właściciela telefonu. Nie dowodzą tożsamości osoby po drugiej stronie. Miniatura zdjęcia, nazwa profilu i numer wymagają osobnej weryfikacji.

Autentyczność danych

Narzędzie wykonujące kod na urządzeniu zmienia jego stan. Nawet pasywne odczytanie powoduje operacje systemowe. Jeżeli platforma ma możliwości wykonywania poleceń, opinia nie może zakładać, że każdy plik w eksporcie był zastany przed infekcją.

Silniejsze potwierdzenie daje zgodność z niezależną kopią urządzenia, serwerem usługi, telefonem drugiego uczestnika, kopią chmurową albo danymi operatora. Brak takiego potwierdzenia nie czyni materiału automatycznie fałszywym, ale ogranicza siłę wniosku.

Suma kontrolna zabezpiecza eksport od określonego momentu. Nie rozwiązuje problemu pochodzenia wcześniejszego. Potrzebne są logi pobrania, ścieżka obiektu, identyfikator wersji i rozliczalny eksport.

Kompletność

System może pobrać tylko część danych z powodu wersji aplikacji, braku połączenia, ograniczeń modułu, retencji albo zakończenia procesu. Filtr operatora może dodatkowo zawęzić eksport. Brak rekordu nie dowodzi braku zdarzenia.

Kompletność ocenia się osobno dla czasu, typu danych i konta. Przy wiadomościach trzeba sprawdzić status synchronizacji, usunięcia, reakcje, załączniki i odpowiedzi cytowane. Przy lokalizacji — źródło pomiaru oraz okresy bez próbek.

Raport powinien podać błędy i przerwy. Ciągła oś czasu w interfejsie może ukrywać kilkugodzinne lub kilkudniowe luki.

Czas

Telefon, aplikacja, serwer dostawcy i konsola klienta mogą używać innych reprezentacji czasu. Znacznik UTC, czas lokalny i czas prezentowany w panelu nie są wymienne.

Zmiana strefy, ręczna korekta zegara lub opóźniona synchronizacja mogą przesunąć zdarzenia. Należy zachować wartość surową, regułę konwersji oraz informacje o zegarze urządzenia.

Moment zadania, dostarczenia, wykonania, pobrania i eksportu to pięć różnych chwil. Użycie jednego słowa „pozyskano” zaciera łańcuch.

Badanie śladów infekcji

Badanie może obejmować kopie zapasowe, logi systemowe, bazy aplikacji, historię procesów, nietypowe domeny i powiadomienia dostawców platform. Amnesty opublikowała metodologię oraz Mobile Verification Toolkit do pracy z określonymi artefaktami.

Wskaźnik kompromitacji jest wskazówką o opisanym znaczeniu. Domena może zmienić właściciela, proces może być legalny, a artefakt pozostać po nieskutecznej próbie. Wynik wymaga korelacji czasu i wielu źródeł.

Brak trafienia nie jest certyfikatem czystości. Nowa wersja może używać innych nazw, część danych może nie trafić do kopii, a ślad może zostać usunięty. Raport powinien wymienić zakres urządzenia i listę zastosowanych wskaźników z datą.

Reakcja na podejrzenie

Najpierw określa się cel: bezpieczeństwo osoby, przerwanie dostępu czy zachowanie dowodów. Aktualizacja i restart mogą ograniczyć działanie implantu, lecz zmieniają stan urządzenia. Odłączenie sieci może przerwać transmisję, ale także wywołać utratę danych ulotnych.

Jeżeli priorytetem jest dowód, działania dokumentuje się przed zmianą konfiguracji, o ile nie zwiększa to nieakceptowalnego ryzyka. Kopię wykonuje kompetentne laboratorium, a komunikację o incydencie prowadzi się innym, zaufanym kanałem.

Nie należy instalować przypadkowych „skanerów Pegasusa”. Mogą usuwać artefakty, ujawniać dane lub dawać fałszywe poczucie bezpieczeństwa.

Proporcjonalność

Dostęp do całego telefonu może objąć dane sprzed autoryzowanego okresu, tajemnice zawodowe, informacje zdrowotne i rozmowy osób trzecich. Sama techniczna funkcja filtrowania nie gwarantuje minimalizacji.

Dokument autoryzacji powinien określać identyfikator, okres, kategorie danych, reguły selekcji i zniszczenia oraz procedurę dla materiału chronionego. System musi uniemożliwiać dalsze zadawanie celu po upływie zgody albo przynajmniej generować alarm i trwały ślad.

Niezależny nadzór potrzebuje pełnych logów, nie tylko raportu przygotowanego przez operatora. Audyt powinien wykrywać również cele nieskuteczne i usunięte.

Polska debata publiczna

W Polsce działalność komisji śledczej i postępowania prokuratury dotyczą zakupu oraz użycia Pegasusa wobec konkretnych osób. To istotny kontekst kontroli legalności, lecz nie definiuje technicznie produktu. Bieżący stan spraw należy sprawdzać w dokumentach komisji, sądów i Prokuratury Krajowej.

Zarzut użycia wobec osoby nie jest sam w sobie dowodem infekcji ani zakresu pobrania. Z drugiej strony sama deklaracja zwalczania przestępczości nie rozstrzyga legalności celu. Obie kwestie wymagają dokumentów konkretnej operacji.

Minimalny standard opinii

Opinia powinna rozdzielić próbę od skutecznej infekcji, urządzenie od numeru, artefakt od atrybucji oraz pozyskany rekord od wniosku o człowieku. Powinna wskazać wersję systemu, zakres materiału, luki, źródła czasu i znane transformacje.

Wnioski warto stopniować: zgodność ze wskaźnikiem, silne oznaki kompromitacji, potwierdzona infekcja w określonym okresie, potwierdzone pobranie konkretnego obiektu. Te poziomy nie są synonimami.

Najmocniejszy pakiet łączy badanie telefonu z logami klienta i dostawcy, dokumentem autoryzacji, surowym eksportem oraz niezależnymi danymi usługodawcy. Bez tego nazwa „Pegasus” może stać się etykietą zastępującą analizę.

Walidacja przed użyciem operacyjnym

Instytucja nie może bezpiecznie walidować samego exploitu przeciw przypadkowym urządzeniom. Może jednak sprawdzić środowisko klienta na kontrolowanych telefonach: rejestrację zadania, znaczenie statusów, zakres modułów, zgodność eksportu z przygotowanym zbiorem oraz zachowanie po przerwaniu łączności.

Zbiór testowy powinien zawierać wiadomości wysłane, odebrane, usunięte, edytowane i zsynchronizowane na kilku urządzeniach. Dla plików potrzebne są różne kodowania nazw i strefy czasu. Wynik porównuje się z prawdą znaną zespołowi testowemu.

Osobno testuje się uprawnienia. Operator nie powinien zmienić listy ról, administrator nie powinien otwierać treści, a analityk uruchamiać nowego celu. Próby niedozwolone muszą pozostać w logu.

Test retencji sprawdza, co znika z panelu, kopii i serwera po zakończeniu okresu. Usunięcie z interfejsu nie musi oznaczać bezpiecznego usunięcia z nośnika ani kopii dostawcy.

Wersja urządzenia i zakres podatności

Wersja systemu operacyjnego musi być ustalona na chwilę podejrzewanego ataku. Aktualny stan po wielu aktualizacjach nie wystarcza. Pomocne są logi aktualizacji, kopie zapasowe i dane zarządzania urządzeniem.

Model telefonu ma znaczenie ze względu na architekturę procesora, mechanizmy izolacji i dostępność logów. Ustalenie, że podatność dotyczyła iOS, nie wystarcza bez sprawdzenia numeru wydania i poprawek.

Jeżeli producent platformy przypisał CVE i opublikował poprawkę, dokument bezpieczeństwa pomaga wyznaczyć okno możliwości. Nie dowodzi jednak, że właśnie ta podatność została użyta na badanym urządzeniu.

Dane z komunikatorów

Baza komunikatora może zawierać identyfikatory techniczne, stan doręczenia, cytowanie, reakcje i odwołania do załączników. Panel może przedstawić tylko tekst oraz nazwę kontaktu. Utrata pól ogranicza możliwość rekonstrukcji rozmowy.

Wiadomość usunięta dla użytkownika może pozostać w bazie, kopii, pamięci albo na innym końcu. Termin „usunięta” wymaga więc wskazania warstwy. Również wiadomość znikająca ma własny czas retencji i może pozostawić metadane.

Grupy tworzą problem uczestników zmieniających się w czasie. Lista aktualna nie dowodzi składu w chwili wiadomości. Potrzebne są zdarzenia dołączenia, odejścia i zmiany administratora.

Kontakty i książka adresowa

Kontakt jest wpisem właściciela telefonu. Nazwa „Jan Kowalski” może być pseudonimem, dawnym właścicielem numeru albo błędem. Identyfikację wzmacniają dane abonenta, historia konta i komunikacja.

Łączenie książki adresowej z profilami internetowymi tworzy nową warstwę analityczną. Należy zachować regułę dopasowania i nie przedstawiać wyniku jako surowego pola z telefonu.

Synchronizacja chmurowa może dodać kontakt z innego urządzenia. Czas modyfikacji lokalnego wpisu nie zawsze jest czasem jego pierwotnego utworzenia.

Pliki i fotografie

Plik posiada treść, metadane systemu plików i metadane osadzone. Eksport może zmienić nazwę, czas albo format. Oryginalny obiekt powinien zostać zachowany obok wersji podglądowej.

Miniatura nie jest pełnym zdjęciem. Może pozostać po usunięciu oryginału albo pochodzić z komunikatora. Wniosek o wykonaniu fotografii danym telefonem wymaga analizy metadanych i zgodności z urządzeniem.

Rozpoznanie osoby na zdjęciu jest odrębną czynnością. Fakt znalezienia pliku nie dowodzi, że właściciel go wykonał, widział ani świadomie przechowywał.

Lokalizacja

Telefon może gromadzić współrzędne GNSS, położenie sieciowe, historię aplikacji i metadane fotografii. Każde źródło ma inną dokładność. Panel nie powinien scalać ich bez etykiety.

Znacznik lokalizacji może odpowiadać miejscu urządzenia, nie człowieka. Ustalając obecność, trzeba zbadać użytkownika, czas i możliwość pozostawienia telefonu.

Seria punktów nie jest ciągłą trasą. Interpolacja na mapie powinna być oznaczona, a prędkość liczona z uwzględnieniem błędu i odstępu.

Dane mikrofonu i kamery

Nagranie aktywowane zdalnie wymaga identyfikatora polecenia, czasu startu, przerw i zakończenia. Plik bez logu nie pokazuje, czy powstał w zwykłej aplikacji, czy przez moduł nadzoru.

Głos może być słabo słyszalny, a mówcy nakładać się. Identyfikacja osoby wymaga metod fonoskopijnych lub innych dowodów, nie intuicji operatora.

Obraz z kamery nie zawsze wskazuje kierunek i warunki. Automatyczny obrót, odbicie lustrzane i kompresja powinny być opisane.

Materiał objęty tajemnicą

Telefon może zawierać rozmowy z obrońcą, lekarzem, dziennikarzem lub duchownym. Filtr po słowie kluczowym nie wystarcza, ponieważ charakter tajemnicy wynika z relacji i kontekstu.

Procedura powinna ograniczać dostęp operatora, oznaczać potencjalnie chroniony materiał i przekazywać decyzję właściwemu organowi. Sama ciekawość lub przydatność operacyjna nie znosi ochrony.

Log musi pokazać, kto otworzył materiał, zanim został wyłączony. Niszczenie wymaga protokołu obejmującego kopie i eksporty.

Pytania do dostawcy i integratora

Należy pytać, gdzie wykonywano każdy etap, jakie metadane widział producent, jak rozpoznawano klienta, kto posiadał klucze, jak wyglądała aktualizacja i czy dostawca mógł zawiesić cel.

Ważne są definicje statusów: „delivered”, „installed”, „active”, „collected” i „exported” mogą mieć znaczenie specyficzne dla wersji. Tłumaczenie powinno zachować termin źródłowy.

Dokumentacja serwisowa może ujawnić awarie i działania inżyniera. Brak logów dostawcy powinien być opisany jako luka, jeśli dostawca utrzymywał element krytyczny.

Źródła