Zapis korespondencji prowadzonej przez Centralne Biuro Antykorupcyjne w sprawie zakupu izraelskiego oprogramowania został przez CBA zgromadzony w teczce opatrzonej kryptonimem "Drużyna Pierścienia". Od 9 kwietnia zebrane w niej w dwóch tomach dokumenty są jawne i znane członkom sejmowej komisji śledczej. Obraz, na jaki się składają, mogą świadczyć o tym, że sfinansowanie zakupu Pegasusa z Funduszu Sprawiedliwości wynikało z tego, iż system był za drogi dla polskich służb.
Działania Centralnego Biura Antykorupcyjnego poprzedzające zakup Pegasusa zaczęły się we wrześniu 2016 r. i miały cechy pośpiechu. Prowadzący sprawę funkcjonariusz nie krył tego i naciskał na jak najwcześniejsze zapoznanie się z możliwościami systemu. Ten etap opisaliśmy we wcześniejszym tekście.
Kolejnym etapem działań zmierzających do nabycia Pegasusa było skierowane już nie do pośrednika z firmy Matic, ale reprezentującej izraelskiego dostawcę Any Tsmokun stwierdzenie, że prezentacja działania Pegasusa, przeprowadzona 6 października 2016 r., dowiodła jego skuteczności. CBA poprosiło też NSO Group o czas na zastanowienie się i - jak to ujęto - "zebranie się wszystkich agencji i określenie ich różnych potrzeb i oczekiwań".
Dwa tygodnie po prezentacji CBA przesłało do NSO Group efekt ustaleń; kupno jednego systemu dla trzech agencji albo trzech różnych wersji Pegasusa dla każdej z nich. CBA deklarowało chęć korzystania z Pegasusa tylko w kraju i zakup 10 licencji umożliwiających inwigilację. Agencje Wywiadowcze, jak je nazwał autor maila, chciały mieć większe możliwości i były zainteresowane zakupem 20 licencji, ze wskazaniem także użycia Pegasusa na Bliskim Wschodzie i w Europie Wschodniej.
Największe potrzeby wykazały "służby kontrwywiadowcze", oczekujące 50 licencji, skupionych na przebywających na terenie kraju "in-roamers" - użytkowników urządzeń zarejestrowanych w innych krajach. Policja w tym zestawieniu nie została wymieniona, choć swoje potrzeby miało też Centralne Biuro Śledcze Policji.
Mail skierowany do dostawcy Pegasusa zawierał też kluczowe pytanie.
Przy małej, czyli minimalnej ilości "celów" (tak dostawca nazywa urządzenia poddane infiltracji), tylko w kraju koszt miałby wynieść 2,5 mln dolarów za samą instalację i 150 tys. dolarów za każdą licencję. Przy 25 "celach" Pegasus miałby więc kosztować ponad 6,2 mln dolarów.
Izraelska firma zapytała jednak zarówno o możliwości finansowe kupujących, jak i okres, na jaki chcieliby dostęp do Pegasusa wykupić, co wyraźnie wskazywało drogę do negocjacji cenowych.
W kolejnych mailach CBA skorzystało z tej ścieżki, podkreślając potrzebę zapewnienia bezpieczeństwa, specyficzne potrzeby kupujących i ich złożoną sytuację finansową i prawną. Co do skutku stanęło na skoncentrowaniu się na jednej, podstawowej wersji systemu, z zastrzeżeniem, że izraelska oferta jest zdecydowanie za droga.
Polska wskazywała, że Pegasus nie jest w stanie infiltrować komunikatora Signal, z którego w Polsce korzysta wiele osób. Pojawiły się też oczekiwania dotyczące instalacji systemu metodą "0-click", czyli bez udziału podsłuchiwanego. Wersje "1-click" i więcej ograniczają użycie systemu właśnie od kliknięcia przez użytkownika aparatu, najczęściej w link w wysłanym do niego SMS-ie czy mailu. Pegasus słono wyceniał swoją metodę "0-click. To warte wysokiej ceny - przyznawało CBA - ale rozsądnie wysokiej...
Rozważane było m.in. wykorzystanie do zakupu środków pochodzących z funduszy europejskich. Jak jednak doniósł drugiej stronie przedstawiciel CBA, policja doszła do wniosku, że użycie kontrolowanych środków europejskich do takiego rozwiązania "nie jest dobrym pomysłem". Co ciekawe, zdecydowanie wsparła tę opinię przedstawicielka NSO Group.
Zastój w wymianie maili pozwala sądzić, że wiosną 2017 r. w rozmowach nastąpił impas, dobrze opisywany kąśliwą uwagą strony izraelskiej. "Zaczekam tak długo, aż będziesz gotowy z jakimiś odpowiedziami, a nie tylko z pytaniami" - napisała w lutym Ana Tsmokun, dodając, że złamanie Signala z technicznego punktu widzenia nie jest żadnym problemem.
Po szeregu uzgodnień CBA otrzymało ofertę - 5,4 mln euro za 25 jednocześnie zainfekowanych urządzeń i opcjonalną możliwość poszerzenia tej liczby do 50 za dodatkowe 400 tys. euro. Te ogólne zapisy były później dość szczegółowo wyjaśniane; w lipcu Polska dowiedziała się m.in., że zainfekowanie polskich numerów za granicą w kilku wymienionych krajach stanowiłoby koszt 550 tys. euro, a instalowanie Pegasusa na urządzeniach z pochodzącymi z nich kartami SIM kosztowałoby 920 tys. euro. Obsługa instalacji Pegasusa w Polsce miałaby kosztować 831 600 euro przez dwa lata, a przez trzy - 1 425 600 euro.
Ostatecznie umowę na zakup Pegasusa podpisano 29 września. Polska strona znalazła sposób jego sfinansowania - na prośbę Ernesta Bejdy kilka dni wcześniej przeznaczono na to 25 mln złotych z Funduszu Sprawiedliwości, pierwotnie mające służyć ofiarom przestępstw i pomocy postpenitencjarnej.
Polską stronę reprezentowali wiceminister sprawiedliwości i szef CBA. Główne parametry umowy opisuje projekt dokumentu A, także opublikowany w ujawnionym zbiorze korespondencji "Drużyny Pierścienia".
