W zakresie bezpieczeństwa systemu i danych biegli ustalili, że:
CBA nie miało pełnej kontroli nad systemem Pegasus. CBA nie posiadało haseł dostępowych do części kont z uprawnieniami administracyjnymi, a niektóre elementy systemu pozostawały pod kontrolą producenta oprogramowania (prywatnej izraelskiej firmy). Uniemożliwiało to pełną weryfikację poprawności funkcjonowania poszczególnych modułów systemu, w tym odpowiedzialnych za przesyłanie i przechowywanie danych. Moduł serwera odpowiedzialnego za infekowanie urządzeń mobilnych pozostawał pod wyłączną kontrolą producenta.
https://www.gov.pl/web/prokuratura-krajowa/pegasus-opinia
Czyli Izrael nie dość, że miał dostęp do samych plików to do tego miał wprost dostęp administracyjny 🤦♂️