Polonya’da önceki hükümet döneminde kullanılan Pegasus casus yazılımına ilişkin soruşturma yeni bir aşamaya geçti. Polonya Ulusal Savcılığı, 12 Ekim’de İç Güvenlik Ajansı (ABW) uzmanlarının hazırladığı değerlendirmelerin sonuçlarını kamuoyuna duyurdu.
Değerlendirmelerde, Merkezi Yolsuzlukla Mücadele Bürosu'nun (CBA), Pegasus’un işleyişi üzerinde tam kontrole sahip olmadığı ortaya çıktı.
Buna göre, sistem aracılığıyla elde edilen veriler Polonya dışına çıkıyor, yazılımın üreticisi İsrailli NSO Group ise verilerin işlendiği ve saklandığı altyapıya teknik olarak erişebiliyordu.
Meclis soruşturma komisyonunun aynı gün açıkladığı rapor da sistemin güvenliği ve kullanımıyla ilgili ciddi sorunlara işaret etti. Komisyon, eski hükümet döneminde devletin gözetleme yetkilerinin nasıl kullanıldığını incelerken, Başbakan Donald Tusk hassas verilerin İsrail tarafına aktarılmasını “devlete karşı suç” olarak nitelendirdi.
Pegasus nedir, bir telefonda neler yapabiliyor?
Pegasus, İsrailli NSO Group tarafından geliştirilen bir casus yazılım. Şirket, ürünü terörle mücadele ve ağır suçların soruşturulması için devlet kurumlarına yönelik bir teknoloji olarak tanıtıyor. Ancak Pegasus’u sıradan telefon dinleme araçlarından ayıran özellik, hedef cihazın çok daha geniş kapsamlı biçimde izlenebilmesine imkân vermesi.
Yazılım, cihazın güvenlik açıklarından yararlanarak telefona yerleşebiliyor. Kullanılan yönteme ve cihazın koşullarına bağlı olarak mesajlara, e-postalara, fotoğraflara, rehbere ve konum bilgilerine erişebiliyor; mikrofonu ve kamerayı devreye sokabiliyor. Böylece hedef kişinin yalnızca telefon görüşmeleri değil, özel yaşamının farklı alanları da gözetim altına alınabiliyor.
Bu kapasite, Pegasus’u devletlerin istihbarat ve kolluk faaliyetlerinde kullanmak istediği güçlü araçlardan biri haline getirdi. Pegasus’un kullanımı daha önce de uluslararası skandallara yol açmıştı. Temmuz 2021’de Uluslararası Af Örgütü tarafından yayımlanan Pegasus Projesi, İsrailli NSO Group’un yazılımının farklı ülkelerde gazetecileri, insan hakları savunucularını, siyasetçileri ve hukukçuları hedef almak için kullanıldığına ilişkin bulguları gündeme taşıdı. Araştırmacılar, 50 binden fazla telefon numarasının olası gözetleme hedefleri listesinde yer aldığını belirledi.
NSO Group: İsrail’in siber güvenlik sektöründen küresel gözetim pazarına
NSO Group, 2010’da İsrail’de kuruldu. Şirketin adı, kurucuları Niv Carmi, Shalev Hulio ve Omri Lavie’nin isimlerinin baş harflerinden geliyor. Şirket, Pegasus’un yanı sıra devlet kurumlarına yönelik gözetim ve istihbarat teknolojileriyle tanınıyor.
NSO’nun İsrail’le ilişkisi yalnızca şirketin merkezinin bu ülkede bulunmasıyla sınırlı değil. Şirketin kurucuları arasında, İsrail İşgal Ordusu’nun (IDF) askeri istihbarat yapılanması AMAN’a bağlı, sinyal istihbaratı ve siber operasyonlarla bilinen 8200 Birimi’nde görev yapmış isimler bulunuyor.
NSO’nun faaliyetleri İsrail’in ihracat denetimi sistemine de tabi. Şirketin 2023 tarihli şeffaflık raporunda Pegasus’un bir savunma ürünü olarak değerlendirildiği ve satış görüşmeleri için İsrail Savunma Bakanlığının savunma ihracatı denetiminden sorumlu biriminden izin alınması gerektiği belirtiliyor.
Polonya’daki sistem kimin kontrolündeydi?
Polonya’da 12 Ekim'de açıklanan teknik bulguların merkezinde, gözetleme faaliyetleriyle elde edilen verilerin nerede işlendiği ve kimlerin bu verilere erişebildiği sorusu bulunuyor.
Polonya savcılığının açıkladığı, ABW uzman değerlendirmelerine göre CBA, Pegasus sisteminin bazı yönetici hesaplarına ait erişim şifrelerine sahip değildi. Sistemin bazı bileşenleri üreticinin kontrolünde kalırken, telefonlara sızmayı sağlayan sunucu da yalnızca üreticinin denetimindeydi.
Uzmanlar, sistem üzerinden aktarılan verilerin Polonya dışına çıktığını ve uygulanan teknik düzenin verilerin güvenliğini tam olarak garanti etmediğini belirtti. Bu bulgular, devlet kurumlarının kullandığı bir gözetleme aracında toplanan hassas bilgilerin ülke dışındaki altyapıyla bağlantılı olması nedeniyle güvenlik ve egemenlik tartışmasını büyüttü.
Savcılığın 6 Mayıs 2025 tarihli açıklamasında ise Pegasus sisteminin gerekli bilişim güvenliği akreditasyonunu hiç almadığı bildirilmişti. Eski güvenlik kurumu yöneticileri hakkında bu sistemin kullanımı ve denetimiyle ilgili görev ihmali suçlamaları yapıldı.
Soruşturma neyi kapsıyor?
Polonya’daki ceza soruşturması 18 Mart 2024’te başlatıldı ve 2017–2022 dönemindeki gözetleme faaliyetlerinin hukuki dayanağını, kamu görevlilerinin sorumluluğunu ve elde edilen gizli bilgilerin işlenmesini incelemeye aldı. Haziran 2024’te savcılar ve ABW uzmanları, CBA’nın Varşova’daki merkezinde Pegasus sistemine ait cihazları güvence altına aldı.
12 Ekim 2026’da açıklanan Meclis komisyonu raporuna göre komisyon 77 tanık dinledi ve 11 kişi hakkında toplam 10 suç duyurusunda bulundu. Pegasus dosyasında Krzysztof Brejza, Ewa Wrzosek, Roman Giertych, Jacek Karnowski ve Michał Kołodziejczak gibi siyasetçi, savcı ve hukukçuların isimleri öne çıktı. Ancak 2017–2022 döneminde üç güvenlik kurumunun toplam 578 kişi hakkında yürüttüğü operasyonel gözetimin tamamının Pegasus’la gerçekleştirildiği doğrulanmış değil. Raporun bir bölümü gizli olduğu için tüm bulgular kamuoyuna açık değil.
Önceki hükümet dönemindeki yetkililer, gözetleme araçlarının ulusal güvenlik ve suçla mücadele amacıyla kullanıldığını savunuyor.