Gli investigatori polacchi hanno accertato che l'Ufficio centrale anticorruzione (CBA) non controllava pienamente il sistema di spyware Pegasus che gestiva. L'infrastruttura chiave restava sotto il controllo del produttore NSO Group, mentre i dati di sorveglianza transitavano all'estero attraverso server esteri e indirizzi IP stranieri, secondo le conclusioni della Procura nazionale riportate da The Record.
I procuratori hanno affermato che NSO disponeva di un «accesso tecnico» alle informazioni raccolte durante le intercettazioni operative. Questo dato stabilisce la capacità dell'azienda di raggiungere il sistema, ma non che abbia visualizzato o ottenuto materiale relativo a particolari operazioni. Gli investigatori hanno dichiarato di non poter stabilire se NSO abbia avuto accesso ai dati di un singolo accertamento operativo.
Il CBA non controllava infrastruttura e account amministrativi
Un'analisi dell'Agenzia per la sicurezza interna (ABW) polacca ha stabilito che il CBA non aveva il controllo completo della propria installazione di Pegasus.
Il modulo server usato per infettare i dispositivi mobili restava esclusivamente sotto il controllo del produttore. Il CBA non disponeva inoltre delle password di molti account con privilegi amministrativi, il che limitava la sua capacità di verificare come i singoli moduli gestissero la trasmissione e la conservazione dei dati.
NSO ha fornito aggiornamenti e supporto tecnico tramite connessioni remote. I procuratori hanno detto che la sorveglianza operativa proseguiva durante tali interventi, mentre il produttore aveva pieno accesso al sistema, inclusa la possibilità di modificare software e configurazione.
Le informazioni raccolte venivano instradate all'estero attraverso una rete di anonimizzazione che si appoggiava a server stranieri. Gli investigatori hanno inoltre individuato trasmissioni tramite indirizzi IP esteri. Le conclusioni riportate dai procuratori non stabiliscono che quei percorsi abbiano consegnato specifici materiali di sorveglianza a NSO o alle autorità israeliane.
Presi di mira dispositivi di oltre 500 persone
Nel febbraio 2024 il governo del premier Donald Tusk ha annunciato che gli investigatori avevano confermato l'uso di Pegasus contro una lista «molto lunga» di obiettivi. Tusk ha detto che sua moglie e sua figlia erano state spiate. Ha inoltre affermato che i dispositivi di oltre 500 altre persone erano stati presi di mira e, in alcuni casi, infettati.
Il dato si riferisce quindi a oltre 500 persone i cui dispositivi sono stati presi di mira. Non è un conteggio di infezioni confermate o di casi in cui siano state ottenute informazioni.
Lunedì Tusk ha descritto l'operazione condotta dal precedente partito di governo come «uno dei più grandi scandali della storia polacca dalla caduta del comunismo». Ha accusato NSO Group di collaborare con i servizi segreti israeliani e ha sostenuto che dati riguardanti cittadini polacchi, leader dell'opposizione e procuratori indipendenti sarebbero stati trasferiti alla parte israeliana.
Queste accuse vanno oltre la conclusione tecnica dei procuratori. I risultati ufficiali, per come riportati, mostrano percorsi di dati esteri, componenti controllate dal fornitore e la capacità di NSO di accedere al sistema. Gli investigatori non sono riusciti a stabilire che NSO abbia ottenuto materiale da specifiche operazioni di sorveglianza.
Ex funzionari imputati per abusi con Pegasus
Diversi ex funzionari dei servizi segreti e di sicurezza polacchi sono imputati per aver presumibilmente facilitato abusi legati allo spyware. I procuratori sostengono che l'operazione sarebbe stata finanziata distraendo un fondo governativo destinato a sostenere le vittime di reato.
NSO Group non ha risposto alla richiesta di commento di The Record.
Il ricercatore di Citizen Lab John Scott-Railton ha dichiarato alla testata che i risultati sollevano preoccupazioni di sicurezza operativa per i governi che usano spyware commerciali. Ha affermato che il materiale reso pubblico nell'ambito della causa intentata da WhatsApp contro NSO nel 2019 sostiene le tesi del governo polacco e contraddice le rassicurazioni di lunga data di NSO, secondo cui l'azienda non può accedere ai dati raccolti dai clienti di Pegasus.
L'accesso del fornitore crea rischi per governi e bersagli della sorveglianza
I risultati evidenziano un problema di sicurezza per le agenzie che acquistano spyware stranieri: il cliente potrebbe non essere in grado di verificare come funziona il sistema quando il fornitore controlla l'infrastruttura di infezione, le credenziali amministrative, gli aggiornamenti software o il supporto remoto.
Un simile assetto può mettere sia i dati di sorveglianza sia le informazioni sui bersagli selezionati a portata di un fornitore straniero. Può anche impedire all'agenzia che li utilizza di verificare in modo indipendente i percorsi dei dati, i componenti di archiviazione e le modifiche alla configurazione.
Per le persone prese di mira in Polonia, l'indagine non dimostra che tutti i tentativi di compromissione siano riusciti né che NSO abbia avuto accesso alle informazioni di ciascuna. Dimostra però che il CBA non poteva ispezionare né controllare pienamente la piattaforma di sorveglianza che aveva usato contro di loro.
