ผู้เชี่ยวชาญด้านความปลอดภัยระบุว่า การใช้สปายแวร์ที่ล่วงล้ำโดยสมาชิกของสหภาพยุโรปนั้นคาดว่าจะต้องเผชิญกับการพิจารณาใหม่หลังจากเปิดเผยว่าโทรศัพท์มือถือของพลเมืองโปแลนด์อีกสองคนที่มีการเชื่อมโยงอย่างใกล้ชิดกับวุฒิสมาชิกฝ่ายค้านตกเป็นเป้าหมายของลูกค้ากลุ่ม NSO ตามรายงานของผู้เชี่ยวชาญด้านความปลอดภัย

การวิเคราะห์ทางนิติเวชโดยแอมเนสตี้ อินเตอร์เนชั่นแนลพบว่าทั้ง Magdalena Łośko อดีตผู้ช่วยวุฒิสมาชิกโปแลนด์ Krzysztof Brejza และ Ryszard Brejza พ่อของ Brejza ได้รับข้อความในปี 2019 ซึ่งนักวิจัยกล่าวว่าสอดคล้องกับการโจมตีสปายแวร์โดยลูกค้าของ NSO Group โดยใช้ Pegasus

ในทั้งสองกรณี ระยะเวลาของการกำหนดเป้าหมายตรงกับการปรากฏตัวของหมายเลขโทรศัพท์มือถือของ Łośko และ Ryszard Brejza ในฐานข้อมูลที่รั่วไหลในใจกลางของ Pegasus Project การสอบสวนกลุ่ม NSO โดยกลุ่มสื่อรวมถึง Guardian, Wyborcza และ Die Zeit ประสานงานโดยกลุ่ม Forbidden Stories ที่ไม่แสวงหากำไรของฝรั่งเศส

ข้อมูลรั่วไหลเป็นรายการหมายเลขโทรศัพท์มากกว่า 50,000 หมายเลข ซึ่งตั้งแต่ปี 2559 เชื่อว่าได้รับเลือกให้เป็นบุคคลที่น่าสนใจจากลูกค้าภาครัฐของกลุ่ม เว็บพนัน สมาคมเชื่อว่าข้อมูลบ่งชี้เป้าหมายที่เป็นไปได้ที่ลูกค้าของรัฐบาลของ NSO ระบุล่วงหน้าก่อนการเฝ้าระวังที่เป็นไปได้ การมีหมายเลขโทรศัพท์ของบุคคลในฐานข้อมูลไม่ได้หมายความว่าโทรศัพท์มือถือถูกแฮ็ก NSO ปฏิเสธอย่างหนักแน่นว่าข้อมูลดังกล่าวมีส่วนเกี่ยวข้องกับบริษัทอิสราเอล และกล่าวว่าหมายเลขโทรศัพท์ในรายการไม่ใช่เป้าหมายของลูกค้า NSO

เมื่อปรับใช้กับเป้าหมายได้สำเร็จ เว็บพนันออนไลน์ เพกาซัสสามารถแทรกซึมเข้าไปในโทรศัพท์มือถือ ทำให้ผู้ใช้สปายแวร์สามารถเข้าถึงการโทร ข้อความ ข้อความที่เข้ารหัส และรูปถ่ายได้อย่างเต็มที่ สามารถติดตามตำแหน่งของผู้ใช้โทรศัพท์มือถือและเปลี่ยนโทรศัพท์เป็นอุปกรณ์ฟังระยะไกล

การใช้ Pegasus ของทางการโปแลนด์ปรากฏตัวครั้งแรกในเดือนธันวาคม พ.ศ. 2564 หลังจากที่ Associated Press ร่วมกับนักวิจัยที่ Citizen Lab ที่มหาวิทยาลัยโตรอนโตรายงานว่า Pegasus ซึ่งเป็นสปายแวร์ของ NSO Group ถูกใช้กับคนอย่างน้อยสามคน รวมทั้ง Krzysztof Brejza ในกรณีของเขา การวิเคราะห์ทางนิติเวชของโทรศัพท์มือถือของเขาแสดงให้เห็นว่าโทรศัพท์ถูกบุกรุกหลายครั้งในปี 2019 ในขณะที่เขาดำเนินการหาเสียงของพรรค Civil Platform ฝ่ายค้าน การโจมตีหยุดลงไม่กี่วันหลังจากการลงคะแนน

การเปิดเผยใหม่โดยโครงการ Pegasus ระบุว่าลูกค้าของ NSO Group ยังพยายามแฮ็คบุคคลอย่างน้อยสองคนที่อยู่ใกล้กับ Brejza ห้องปฏิบัติการด้านความปลอดภัยของแอมเนสตี้ อินเตอร์เนชั่นแนลพบว่ามีข้อความที่น่าสงสัยสี่ข้อความถูกส่งไปยัง Łośko ในเดือนเมษายน 2019 เมื่อเธอดำเนินการรณรงค์ของ Brejza สำหรับรัฐสภายุโรป แอมเนสตี้พบข้อความที่น่าสงสัย 10 ข้อความบนมือถือของ Ryszard Brejza ระหว่างเดือนกรกฎาคมถึงสิงหาคม 2019