Mecenas Dorota Brejza, żona europosła Krzysztofa Brejzy, inwigilowanego Pegasusem w 2019 r., zarzuciła nam w tekście „Pegasus. Nie rozmydlić prawdy” („Rzeczpospolita”, 11 marca 2024 r.) świadomą dezinformację mającą na celu wybielenie autorów ataków na jej męża oraz bagatelizowanie działania tak inwazyjnego systemu jak Pegasus.

Trudno chyba o większy zarzut stawiany niezależnym od władzy i polityki dziennikarzom. Jest on dla nas nie tylko bolesny, ale i krzywdzący – mec. Dorota Brejza zapewne zna nasze publikacje, które dotyczą działania nie tylko tego systemu, sprawy jej męża, ale także funkcjonowania służb specjalnych w Polsce. Nigdy nie podważałyśmy rangi sprawy Krzysztofa Brejzy. I to my pierwsze napisałyśmy tekst o tym, że aby sięgnąć po Pegasusa, wykorzystano sprawę o faktury na 300 tys. zł.

Czytaj więcej

Polityka

Pegasus i podsłuchy. Tusk: Wszystko, co można będzie ujawnić, będzie ujawnione

- Kwestia używania systemu Pegasus do podsłuchiwania i inwigilowania naszych obywateli musi znale...

Nasz tekst „Cała prawda o Pegasusie” („Rzeczpospolita”, 8 marca 2024 r.) w żadnym aspekcie nie odnosił się do sprawy Krzysztofa Brejzy, nie ma w nim o tym ani słowa. Interesowała nas techniczna strona działania tego systemu w Polsce oraz wymogów, jakim podlegały wnioski o jego zastosowanie – i temu artykuł był poświęcony.

Istotne szczegóły działania systemu

Wszystko, co dotychczas ukazywało się w przestrzeni publicznej, było bowiem spekulacjami na ten temat. Nasz tekst ujawniał wiedzę dotąd nieznaną – jak naprawdę system działał w Polsce, w jakie moduły był wyposażony, a w jakie nie, co służby wpisywały do wniosków o kontrolę operacyjną – to wiedza potrzebna opinii publicznej także po to, by „oddemonizować” wiele nieprawdziwych informacji na ten temat. Wbrew tezom mec. Doroty Brejzy nasz tekst nie stawał po żadnej ze stron, nikogo nie wybielał. Nie opisywał spraw ani osób, wobec których użyto Pegasusa. Dlaczego więc wywołał takie emocje?

Odnieśmy się do faktów. Na początek o autoryzacji systemu Pegasus. Mec. Dorota Brejza pisze: „Akredytacja jest obowiązkiem prawnym, który wynika z ustawy o ochronie informacji niejawnych i oznacza dopuszczenie systemu teleinformatycznego do przetwarzania informacji niejawnych, czyli m.in. do gromadzenia danych z kontroli operacyjnej. Akredytacji udziela ABW albo SKW tylko wtedy, gdy system teleinformatyczny gwarantuje zachowanie w tajemnicy wszelkich przetwarzanych w nim informacji niejawnych”.

To prawda, tyle że w przypadku Pegasusa używanego w Polsce diabeł tkwi w szczegółach. Wnioski o kontrolę operacyjną przez Pegasusa miały klauzulę zaledwie „poufne”, a zgodnie z art. 48 ustawy o ochronie informacji niejawnych ABW lub SKW może odstąpić od audytu bezpieczeństwa. Strefą „ściśle tajną” było pomieszczenie, w którym działał Pegasus, i ono miało akredytację. Bez poznania więc szczegółów technicznych nie można stawiać dziś żadnych tez – czy certyfikuje się narzędzia, czy też certyfikuje się procedury bezpieczeństwa. Nie jest naszym celem obrona przyjętych rozwiązań, ale opisanie, jak ten system skonstruowano.

Czytaj więcej

Polityka

Jarosław Kaczyński wezwany przed komisję śledczą. "Będę, taki mam obowiązek"

Prezes PiS Jarosław Kaczyński zapowiedział, że stawi się przed komisję śledczą do spraw inwigilac...

W tekście napisałyśmy, że używany w Polsce Pegasus nie mógł ingerować w treść wiadomości w telefonie. Mec. Dorota Brejza podważa ten fakt. Twierdzi, że „służby specjalne bezpośrednio zaingerowały w telefon (jej męża, Krzysztofa Brejzy – przy. aut.), zmieniając jego treść. Za pomocą tego systemu wgrano wiadomość, rzekomo napisaną przez pracownicę Klubu PO, rzekomo kierowaną także do Jana Grabca” – ujawniła je TVP. I że „łącznie przy pomocy Pegasusa na telefon (jej) męża wgrano ponad 1 GB danych, co potwierdziła przeprowadzona przez Citizen Lab analiza kryminalistyczna”.

Tymczasem jak wyjaśnia Adam Haertle, który bada m.in. używanie Pegasusa, 1 GB danych wysłanych na telefon Krzysztofa Brejzy nie musi oznaczać, że ktoś coś na jego telefon wgrywał. Każda komunikacja pomiędzy dwoma urządzeniami w internecie odbywa się poprzez wymianę pytań i odpowiedzi. W trakcie pobierania danych z telefonu na serwer, ten drugi regularnie wysyła pytania o kolejne fragmenty danych a także potwierdza ich otrzymanie. Widać to w statystykach jako ruch z serwera do telefonu, choć nic nie jest na telefon wgrywane – to tylko potwierdzenia transmisji i prośby o kolejne informacje. W normalnej komunikacji te wartości najczęściej pozostają w proporcji ok. 20:1, czyli jeśli serwer pobrał 20 GB danych z telefonu, to jednocześnie wysłał w stronę telefonu 1 GB.

Pegasus w wersji kupionej przez CBA – nie miał możliwości „wgrywania wiadomości”. W żadnej dostępnej dokumentacji Pegasusa ani analizie jego próbek czy infekcji specjaliści, m.in. Adam Haertle, nie natrafili na ślady możliwości wgrywania wiadomości do telefonu. Jak więc wytłumaczyć, że w telefonie Brejzy znalazły się wiadomości, których nie był on autorem?

Z naszych ustaleń wynika, że w stenogramach z komunikatora, które są w prokuraturze, miał być błąd – funkcjonariusz, który wklejał stenogramy do protokołu, odwrócił kolejność rozmówców w ten sposób, że np. nie „A napisał do B”, tylko „B napisał do A”. Brejzie przypisano wiadomości, których nie pisał. W śledztwie sprostowano ten błąd, jak widać TVP opublikowała materiały „sprzed korekty”. Czy to tłumaczy funkcjonariuszy, zwalania z odpowiedzialności? Oczywiście że nie.

Czytaj więcej

Polityka

Czy Polska będzie bezbronna, głucha i ślepa? Służby bez programu deszyfrującego

Polskie służby od ponad roku nie posiadają żadnego systemu deszyfrującego komunikatory. Afera z P...

Z kolei linki z esemesów ujawnionych na TT przez mec. Brejzę – np. do domeny sentione.com, to nie jest Pegasus – sentione jest narzędziem do „analizy sentymentu w socjal media”. Według Haertle wiadomości, które pojawiły się w telefonie, a które nie były wysłane przez ich rzekomych nadawców, mogły być skutkiem tzw. spoofingu, gdzie ktoś podszył się pod prawdziwego nadawcę. Czy były to linki do tzw. infekcji?

Pani Dorota Brejza zarzuca nam, że „tekst uspokaja czytelnika, że system Pegasus wprawdzie miał obszerne możliwości ingerowania w prywatność, ale wprowadzono ograniczenia, tak by nie pozyskiwać informacji nadmiarowych”. To kolejny zarzut, który z treści artykułu nie wynika. Napisałyśmy wprost, że Pegasus pobierał całą bazę komunikatora, ale procesowo wykorzystywano tylko dane z zalegalizowanej kontroli operacyjnej. To stwierdzenie faktu, które w żaden sposób nikogo „nie uspokaja”.

Ujawnienie przez nas informacji o tym, że obligatoryjnie we wnioskach do sądu wpisywano, że CBA chce sięgnąć po kontrolę „komunikatorów internetowych”, bo tradycyjna kontrola operacyjna nie powiodła się z powodu korzystania przez figurantów z komunikatorów szyfrowanych, jest informacją niezwykle ważną w kontekście kontroli nad Pegasusem w Polsce. Dotąd informacje o roli sądów – choć kluczowej, bo bez ich zgody służby nie użyłyby Pegasusa – była zafałszowane. Nie zwalniajmy sądów z tej odpowiedzialności, ponieważ to one nadal decydują o zarządzeniu kontroli operacyjnej wobec wielu obywateli. Im surowszy będzie audyt działania Pegasusa w Polsce, tym lepiej w kontekście prawnym będzie działał nasz kraj.

Sejmowa komisja niewiele wyjaśni

Mec. Dorota Brejza żywi nadzieję, że prawdę o Pegasusie odkryje sejmowa komisja śledcza. Nie zgadzamy się z tą opinią. Audyt certyfikacji, stosowania wraz z opinią o kontrolach operacyjnych, mogą z pożytkiem dla sprawy wykonać jedynie profesjonaliści: prawnicy i specjaliści z zakresu techniki operacyjnej służb. Niestety, wciąż go nie ma.

Czytaj więcej

Polityka

Sondaż: Ponad połowa Polaków zainteresowana pracami komisji śledczych. Najciekawsza ta od Pegasusa

59,4 proc. ankietowanych w sondażu, przeprowadzonym przez UCE Research dla Onetu, zadeklarowało z...

Od połowy grudnia ubiegłego roku mamy nowy rząd i nowego prokuratora generalnego. Art. 12 ustawy – Prawo o prokuraturze z 2016 r. pozwala mu ujawnić „mediom osobiście”, „mając na uwadze ważny interes publiczny" informacje ze śledztwa. Czy przypadek pana Krzysztofa Brejzy nie powinien być takim wyjątkiem?