Przekazujemy pierwszą część tzw. Drużyny Pierścienia - to kryptonim dwutomowych, liczących kilkaset stron, dokumentów CBA, dotyczących działań poprzedzających zakup i wdrożenie systemu Pegasus w Polsce. Zawierająca głównie korespondencję mailową dokumentacja przed tygodniem została przekazana sejmowej komisji śledczej.
Historia zaczyna się mailem do firmy Matic, pośrednika oferującego oprogramowanie izraelskiego NSO Group. Już 6 września 2016 Krystian Dobrzyński z CBA pisze: "Chcielibyśmy, aby zorganizowali Państwo dla nas (zapewne inne służby też będą zainteresowane) testy systemu Pegasus".
Funkcjonariusz wyjaśnia, że chodzi o 2-dniowy "Proof of Concept". CBA chce, by "firma przyjechała do Polski" i dodaje: "to my wybierzemy modele urządzeń i systemów, które chcielibyśmy przetestować".
O czym mówimy?
"PoC (Proof of Concept) jest oczywiście możliwy" - odpowiada po kilku dniach Matic, proponując uzgodnienia przebiegu, zakresu i terminu testu.
"Czy mogą Państwo zdefiniować telefony / systemy operacyjne, które powinny znaleźć się w PoC?" - pyta jej pracownik, wspominając o wchodzącym właśnie nowym pakiecie oprogramowania Apple (iOS10), na którego "objęcie" oferowaną wersją Pegasusa, czyli przełamanie, NSO Group potrzebuje ok. 4 tygodni.
Matic stwierdza jednak, że "dostawca ze swojej strony dostarcza listę 50 urządzeń dla których zapewnia wsparcie 'z pudełka'", czyli od ręki w ramach PoC. Dodaje też, że najbliższy okres będzie ciężki organizacyjnie, bo "w Izraelu są święta".
CBA - im szybciej tym lepiej
"Nie będę ukrywał, że bardziej zależy nam na czasie niż na iOS10" - odpisuje już po kilku godzinach funkcjonariusz CBA, sugerując już wrześniowy lub październikowy termin testu.
Jeśli zaś chodzi o telefony z systemem Android precyzuje: "interesuje nas najbardziej popularny segment, a więc Samsung (szczególnie Sx), ale teź niektóre modele HTC, SONY, czy LG" i prosi o listę 50 telefonów rozpracowanych już przez NSO Group.
Uzgodnienia terminu testów
Po trzech dniach Matic informuje CBA o uzgodnieniu z izraelskim dostawcą dwóch możliwych terminów testu - 6 i 7 lub 27 i 28 października.
"Zakładam, że przebieg PoC polega na tym, że Państwo przynoszą swoje telefony, których wersje i model wcześniej uzgadniamy" - pisze pośrednik. Precyzuje też, że w pierwszym terminie dostawca może testować każdy telefon Apple w wersji operacyjnej systemu do 9.3.3, ale dwa tygodnie później będzie już miał rozpracowany najnowszy system iOS10. CBA otrzymuje też opisy możliwości systemu Pegasus i formularz, w którym odbiorca ma wskazać, co go interesuje.
CBA jest zainteresowane licencją na określoną liczbę do 25 inwigilowanych urządzeń, działających w sieciach Orange, T-Mobile i Plus, opartych na systemach iOS i Android.
Zastrzeżenia CBA
Otrzymawszy listę 50 urządzeń "z pudełka" obsługiwanych Pegasusem, CBA narzeka, że dostawca "poszedł na łatwiznę", wypełniając ją głównie iPhonami. Biuro pyta też, czy nie ma przeszkód, by do testów dołączyła zainteresowana nimi ABW i ewentualnie inne służby.
Matic wyjaśnia, że lista 50 aparatów obejmuje tylko te, które wchodzą w grę jako testowane, a jej rozszerzenie należy podjąć w handlowej części rozmów. Oferta jest znacznie szersza i wciąż ewoluuje ze względu na zmiany technologiczne.
Proof of Concept
Zamykający tę fazę uzgodnień test możliwości izraelskiego Pegasusa został przeprowadzony w czwartek, 6 października. O jego udanym przebiegu można wnioskować z wymiany maili po fakcie.
Według ujawnionej korespondencji mailowej sam test zaś miał się zacząć prezentacją "live demo", po której planowane było kontrolowane infekowanie Pegasusem kolejnych urządzeń. "My ze swojej strony też będziemy mieli kilka telefonów, których im wcześniej nie pokażemy" - zapowiadał pracownik firmy Matic. "Można wyjść z telefonami poza biuro, żeby zobaczyć jak zachowują się w rzeczywistej przestrzeni" - dodał.
"OK, propozycja testów jak najbardziej nam odpowiada" - odpowiadało CBA. "Razem z nami do testów dołączy się również ABW, z naszej strony zapowiedział się też dział IT, więc łącznie będzie nawet kilkanaście osób. Mam nadzieję, że nie stanowi to problemu?" - brzmi pytanie ze strony Centralnego Biura Antykorupcyjnego.
"Damy radę. Do zobaczenia" - odpisał pracownik pośredniczącej w transakcji formy Matic.