Polonya savcılığı: Pegasus ile toplanan verilere NSO erişebiliyordu

Polonya'da önceki hükümet döneminde Pegasus casus yazılımıyla telefonlardan toplanan verilerin ülke dışına gönderildiği ve yazılımın İsrailli üreticisi NSO Group'un bu verilere teknik olarak erişebildiği ortaya çıktı. Notes from Poland ve The Record'un aktardığına göre Polonya Ulusal Savcılığı 12 Ekim'de açıkladığı bulgularda, İç Güvenlik Ajansı'nın (ABW) analizine dayanarak Merkezi Yolsuzlukla Mücadele Bürosu'nun (CBA) sistemi tam olarak kontrol etmediğini bildirdi. Bulgular, ticari casus yazılım satın alan devletlerin topladıkları verilerin denetimini bile kaybedebileceğini gösteriyor.

Neler oldu?

The Record'un aktardığına göre savcılık, CBA'nın "Pegasus sistemi üzerinde tam kontrole sahip olmadığı" sonucuna vardı. Mobil cihazlara bulaşmayı sağlayan sunucu modülü üreticinin tekelinde kaldı; büro ayrıca birçok yönetici hesabının şifresine sahip olmadığı için sistemin nasıl çalıştığını tam olarak doğrulayamadı.

Notes from Poland'a göre veriler, NSO tarafından yönetilen ve CBA'nın denetimi dışında kalan bir ağ üzerinden farklı ülkelerdeki sunuculardan geçti. Savcılık, NSO'nun gözetim materyallerine teknik erişimi olduğunu ve uzak bağlantılarla yazılım ile yapılandırma değişikliği yapabildiğini belirtti. Ancak soruşturmacılar, şirketin belirli operasyonlara ait verileri fiilen alıp almadığını tespit edemedi.

Soruşturmayı başlatan Başbakan Donald Tusk, olayı komünizmin çöküşünden bu yana Polonya tarihinin en büyük skandallarından biri ve "devlete karşı işlenmiş bir suç" olarak nitelendirdi. Tusk, NSO'nun İsrail istihbaratıyla iş birliği yaptığını da öne sürdü. NSO Group, The Record'un yorum talebine yanıt vermedi.

Teknik detaylar

Notes from Poland'ın aktardığına göre ABW'nin adli bilişim uzmanları, Pegasus'un e-postaları, mesajları, telefon ve internet aramalarının içeriğini, tarama geçmişini, takvim ve rehber bilgilerini, fotoğraf ve videoları ve konum verilerini çekebildiğini doğruladı. Yazılım ayrıca telefonun mikrofonunu ve kamerasını açarak anlık kayıt yapabiliyor ve ekran görüntüsü alabiliyordu.

Ayrı bir meclis komisyonu da aynı gün gizli olmayan bulgularını yayımladı. Notes from Poland'a göre komisyon, CBA'nın sistem için gerekli bilgi güvenliği akreditasyonunu hiç almadığını ve gözetime izin veren mahkemelere aracın telefonun tüm içeriğine erişebildiğinin bildirilmediğini tespit etti.

Kimler etkilendi?

The Record'a göre 500'den fazla kişi hedef alındı ve bazı cihazlara bulaşma gerçekleşti. İki yayına göre hedefler arasında, Sivil Koalisyon'un 2019 seçim kampanyası başkanı dahil muhalefet politikacıları bulunuyor; Tusk daha önce eşinin ve kızının da izlendiğini söylemişti. Polonya, Pegasus'u 2017'de satın almıştı.

Eski iktidar partisi PiS ise Pegasus'un suçla mücadele ve ulusal güvenlik için gerekli bir araç olduğunu, yalnızca mahkeme onayıyla ve haklı şüphe bulunan kişilere karşı kullanıldığını savunuyor.

Sırada ne var?

Tusk, soruşturmanın sonuna yaklaşıldığını açıkladı. Notes from Poland'ın aktardığına göre savcılar Şubat 2026'da eski ABW ve Askeri Karşı İstihbarat Servisi başkanlarını görevi kötüye kullanmakla suçladı; eski CBA başkanı da aynı suçlamayla yargılanıyor. Suçlananların tamamı iddiaları reddediyor. Citizen Lab araştırmacısı John Scott-Railton, The Record'a yaptığı açıklamada bulguların, casus yazılım kullanan hükümetlerin kendilerinin de ciddi operasyonel güvenlik riskleriyle karşı karşıya olduğunu gösterdiğini söyledi.