Pegasus nie działał lokalnie w serwerowni CBA, ale poprzez sieć anonimizującą rozmieszczoną w różnych częściach świata – wynika z raportu sejmowej komisji śledczej, która badała sprawę od stycznia 2024 r.
Biuro miało też nie posiadać haseł do części kont z uprawnieniami administratora. „Moduł serwera do infekowania urządzeń był pod wyłączoną kontrolą producenta” – wskazała Magdalena Sroka w podsumowaniu prowadzonego śledztwa. W sprawę mają być zamieszane głośne nazwiska, w tym politycy i szefowie służb.