L’inchiesta sull’uso di Pegasus durante i governi del partito Diritto e Giustizia (PiS) porta alla luce una seconda vulnerabilità: il controllo esercitato da un’azienda straniera sull’infrastruttura tecnica della sorveglianza polacca. Il 14 ottobre 2026 sono stati resi noti risultati secondo cui NSO Group, la società israeliana che produce il software, aveva accesso tecnico ai dati raccolti durante il monitoraggio di esponenti dell’opposizione e di altri cittadini.
Le conclusioni non dimostrano che NSO Group abbia effettivamente acquisito i materiali di specifiche operazioni. Mostrano però che il sistema trasmetteva le informazioni attraverso server controllati dal produttore e che l’Ufficio centrale anticorruzione polacco non disponeva del pieno controllo sul suo funzionamento. È questa possibilità di accesso, più che una prova di trasferimento già avvenuto, a riaprire il dibattito sulla sicurezza degli strumenti impiegati dallo Stato.
Il primo ministro Donald Tusk ha definito il caso uno dei più grandi scandali nella storia della Polonia dalla caduta del regime comunista. La vicenda coinvolge così due piani distinti: il possibile impiego della sorveglianza in una competizione politica interna e la dipendenza di un apparato statale da un’infrastruttura gestita, almeno in parte, da un fornitore estero.
Un accesso tecnico che non equivale a una prova di esfiltrazione
Il punto centrale dell’indagine riguarda il modo in cui Pegasus era organizzato. Il software non operava come un sistema completamente isolato e sottoposto in ogni fase al controllo delle autorità polacche. I dati raccolti dai dispositivi sorvegliati passavano attraverso server sotto il controllo di NSO Group, lasciando al produttore una possibilità di accesso tecnico.
La distinzione è essenziale. Dai risultati resi pubblici non emerge la conferma che l’azienda abbia ricevuto contenuti concreti provenienti da singole operazioni: non è dimostrato, per esempio, che abbia acquisito conversazioni, messaggi o documenti investigativi specifici. L’architettura del sistema indica tuttavia che le autorità polacche non controllavano interamente il percorso seguito dalle informazioni.
In un apparato di sorveglianza, la differenza tra accesso possibile e dati effettivamente ottenuti non è un dettaglio tecnico. Anche senza una prova di trasferimento, la presenza di un soggetto esterno nella catena di gestione può esporre a rischio le informazioni sulle persone monitorate, sulle indagini in corso e sulle modalità operative dei servizi. La vulnerabilità nasce dunque dalla struttura del sistema, non dalla dimostrazione di un singolo episodio di fuga di dati.
La sorveglianza dell’opposizione torna al centro della vicenda
Pegasus fu utilizzato durante il periodo dei governi guidati dal PiS per sorvegliare politici dell’opposizione e altri cittadini. Il nuovo elemento tecnico si aggiunge a una controversia già delicata sull’uso degli strumenti di sicurezza dello Stato nel confronto politico. I risultati dell’indagine non risolvono da soli la questione delle finalità di ogni singola operazione, ma rendono più ampia la domanda sulla responsabilità di chi autorizzò e organizzò il sistema.
Per le persone sorvegliate, il problema riguarda la riservatezza delle comunicazioni e la protezione dei dati personali. Per lo Stato, riguarda anche la tutela delle proprie informazioni operative. Se dati relativi a obiettivi, procedure o attività investigative vengono trattati in un ambiente tecnicamente accessibile a un’impresa straniera, la sicurezza dell’apparato non dipende più soltanto dalle decisioni delle autorità nazionali.
Il coinvolgimento di membri del PiS nella predisposizione dell’accesso tecnico aggrava il peso politico della vicenda, ma non dimostra da solo che soggetti stranieri abbiano ricevuto i dati delle operazioni. Il dato più solido è la combinazione tra l’impiego controverso di Pegasus contro esponenti dell’opposizione e l’assenza di un controllo completo da parte delle istituzioni polacche sull’infrastruttura che trattava le informazioni.
La pubblicazione del 14 ottobre, rilanciata anche dal sito specializzato The Record, sposta quindi il fuoco dell’affare. Non si tratta più soltanto di stabilire chi fosse sottoposto a sorveglianza, ma anche di capire a quali condizioni un’azienda straniera fosse stata integrata in uno strumento destinato a raccogliere dati estremamente sensibili.
Resta da chiarire se ulteriori accertamenti dimostreranno che materiali concreti siano usciti dal perimetro delle autorità polacche. Intanto, l’indagine ha già evidenziato una falla di controllo: un sistema usato per operazioni delicate non era interamente governato dallo Stato che lo impiegava.
