У Польщі розслідування щодо використання шпигунського програмного забезпечення Pegasus за уряду партії «Право і справедливість» (PiS) виявило проблему, що виходить за межі питання про самих об’єктів стеження. Ізраїльський виробник NSO Group мав технічний доступ до даних, які збиралися під час спостереження за політиками опозиції та іншими громадянами.
Результати, оприлюднені 14 жовтня 2026 року, не доводять, що компанія справді отримала матеріали конкретних операцій. Але вони показують: інформація проходила через сервери, контрольовані виробником, тоді як польське Центральне антикорупційне бюро не мало повного контролю над роботою системи. Для державного інструменту, призначеного збирати особливо чутливі відомості, сама така конструкція стала серйозною вразливістю.
Прем’єр-міністр Польщі Дональд Туск назвав справу одним із найбільших скандалів в історії країни після падіння комуністичного режиму. Тепер у центрі цієї справи стоять два пов’язані, але різні питання: чи використовували державне стеження в політичній боротьбі та наскільки польські установи контролювали дані, отримані за допомогою Pegasus.
Доступ виробника — ще не доведена передача даних
Ключова обставина стосується не лише того, що робив Pegasus на заражених пристроях, а й того, що відбувалося з інформацією після її збору. Система не працювала як повністю ізольована інфраструктура, якою на кожному етапі керували винятково польські органи. Дані передавалися через сервери, що перебували під контролем NSO Group.
Це означало, що виробник мав технічну можливість доступу до інформації, яка проходила через систему. Йдеться про потенційний доступ, а не про встановлений факт ознайомлення чи копіювання матеріалів. Розслідування не підтвердило, що NSO Group отримала конкретні розмови, повідомлення, списки контактів або документи з окремих операцій стеження.
Так само надані результати не доводять, що будь-які матеріали польського стеження передавалися іноземним спецслужбам. Тому технічну вразливість не можна автоматично називати доведеною витоком інформації. Однак відсутність доказів конкретної передачі не усуває проблеми з архітектурою системи.
У засобах стеження контроль над серверами та маршрутами даних є частиною безпеки самої операції. Якщо зовнішній постачальник технічно вбудований у цей ланцюг, уразливими можуть бути не лише приватні повідомлення людей, за якими спостерігали. Система здатна містити відомості про об’єкти інтересу, перебіг розслідувань, методи роботи та заплановані дії польських служб.
Отже, встановлений ризик є структурним. Він виникає через розрив між формальною відповідальністю держави за стеження та практичним контролем над програмним забезпеченням, серверами й потоками інформації, які забезпечували його роботу.
Політичне походження технічної проблеми
Pegasus використовували за часів уряду PiS для стеження за представниками опозиції та іншими громадянами. Цей факт уже поставив під сумнів межі застосування державних інструментів спостереження у внутрішній політичній боротьбі. Нові результати розслідування додають до суперечки ще один вимір: навіть якщо окремі операції мали формальні правові підстави, захист зібраних матеріалів не перебував цілком у руках польських установ.
Наявна інформація не дає підстав стверджувати, що кожна операція була політично мотивованою. Вона, однак, посилює питання про те, хто санкціонував використання Pegasus, як обирали цілі та які механізми нагляду діяли під час операцій.
Для людей, за якими стежили, наслідки очевидні: під загрозою могли опинитися конфіденційність їхнього спілкування та персональні дані. Для держави ризик був ширшим. Дані про те, кого саме контролюють служби, які справи розслідують і якими методами користуються, можуть розкривати чутливі аспекти роботи правоохоронних та безпекових органів.
За даними розслідування, технічний доступ до системи організували за сприяння членів PiS. Це збільшує політичну вагу справи, але саме по собі не доводить, що NSO Group або якась іноземна служба отримала конкретні записи стеження. Обережніший і підтверджений висновок полягає в іншому: політично суперечливу програму спостереження побудували на інфраструктурі, яку польська сторона не контролювала повністю.
Держава могла керувати операцією, але не всім її механізмом
Ця історія показує, як формальна державна відповідальність може розійтися з технічною спроможністю контролювати власний інструмент. Польські установи могли визначати порядок застосування Pegasus і відповідати за проведені операції, але водночас залежали від іноземної компанії у питаннях програмного забезпечення, серверів та обробки даних.
Для звичайної інформаційної системи така залежність могла б здаватися насамперед питанням закупівель або технічного обслуговування. У системі стеження вона безпосередньо впливає на безпеку. Постачальник, який контролює частину інфраструктури, потенційно бачить не лише результат роботи програми, а й саму організацію операцій: напрямки інтересу, час активності та характер дій служб.
Саме тому відповідь на питання «хто мав право використовувати Pegasus?» не вичерпує проблему. Не менш важливо з’ясувати, хто міг отримувати доступ до даних, де саме вони оброблялися, які технічні повноваження залишалися у виробника і чи могли польські органи незалежно перевірити роботу системи.
Про результати розслідування повідомило спеціалізоване видання The Record. Його публікація змістила акцент у справі Pegasus: поряд із питанням про те, кого відстежували, постало питання про умови, за яких іноземна компанія стала частиною державної системи збору надзвичайно чутливої інформації.
Поки що встановлено можливість технічного доступу та відсутність повного контролю польського бюро над системою, але не доведену передачу матеріалів конкретних операцій NSO Group. Чи покажуть подальші перевірки, що окремі дані справді вийшли за межі контролю польської держави, залишається відкритим. Уже очевидно інше: безпека Pegasus у Польщі залежала не лише від рішень її органів, а й від конструкції іноземного програмного забезпечення.
