בתיק נתניהו עלתה השאלה אם חקירת עדים או נאשמים הושפעה מחדירה לטלפונים בעקבות פרשת פגסוס במשטרה. לפי הדיווח, בית המשפט הורה למסור להגנה חלק מהחומרים הקשורים לבדיקות, תוך איזון מול חיסיון שיטות פעולה — ולא קבע באותו שלב פסלות גורפת של ראיות. כלומר: לא “הכול”, וגם לא הכלי עצמו.
ההבדל הזה טכני, לא משפטי בלבד. מסגרת עבודה שימושית למומחה: רוגלת ריגול תפעולית ניתנת לחלוקה לשלושה רבדים — קוד (תיבת שחורה שכמעט לעולם אינה נחשפת), תצורת הפעלה (מי הפעיל, מתי, נגד מי), ו-תוצרי הפעלה (מה נאסף בפועל). כשבית משפט מורה על חשיפה חלקית, השאלה הקריטית היא לאיזה רובד ניתנה גישה — וזה בדיוק מה שצריך מומחה כדי לפענח.
זה הדבר שמשנה: גישה לקוד אינה זמינה כמעט אף פעם, ולכן טענת “הכלי הוטה” קשה לביסוס. אבל אם נחשפו תצורת ההפעלה או תוצריה, אפשר לבחון טענות מסוג “ההפעלה לא היתה מידתית” או “נאסף חומר שלא היה אמור להיאסף” — כי את אלה, כשהם נמסרים, אפשר לקרוא.
לעורך דין ההגנה בתיק כזה, השאלה אינה “האם פגסוס פלילי” אלא: בעת ההפעלה הקונקרטית הזאת, באיזה היקף, איזה סוג של דאטה זרם, ואיזה חלק ממנו שייך לחקירה? זו שאלה טכנית — לא משפטית. בלי מומחה רוגלות שיודע להבדיל בין metadata לתוכן, בין targeting לnetwork artifacts, ובין artifact שנוצר בכלי לבין artifact שנוצר במכשיר הקצה — חוות הדעת תהיה שטחית.
הלקח: בתיק שבו רוגלת ריגול היא חלק מהראיות, מומחה התוכנה לא בודק את הקוד (שאינו זמין). הוא בודק את הסיפור שהראיות הזמינות מספרות — ומאיר היכן הוא לא עולה בקנה אחד עם טענות התביעה.