Aceasta este prima dată când un membru al comitetului PEGA este identificat public ca victimă a spyware-ului pe care îl investiga. Și nu e vorba de o simplă coincidență: atacurile au avut loc exact în perioadele cheie ale anchetei, când Kouloglou se afla în spital pentru o operație programată și, mai târziu, în timp ce călătorea de la Atena la Bruxelles pentru audieri cruciale. „A fost un act nesăbuit”, a declarat Kouloglou pentru TechCrunch, referindu-se la compromiterea deliberată a telefonului său.
Un alt europarlamentar a descris spionarea lui Kouloglou drept „un atac direct asupra statului de drept” și a cerut Comisiei Europene să impună limite stricte privind utilizarea spyware-ului în cele 27 de state membre. Deși atacurile asupra parlamentarilor sunt rare, țintirea unui investigator al comitetului tocmai cu spyware-ul pe care îl investiga sugerează o concentrare intensă asupra activităților interne ale comitetului, înainte de publicarea unui raport mult așteptat.
Cercetătorii de la Citizen Lab nu au atribuit atacul unei țări anume, dar au descoperit că același client guvernamental a folosit aceeași adresă de e-mail încărcată cu Pegasus ca într-o campanie anterioară care a spart telefoanele jurnaliștilor din Europa. Identitatea clientului nu este cunoscută, dar reutilizarea aceleiași adrese de e-mail indică faptul că acesta avea autorizația NSO Group, compania israeliană care produce Pegasus, de a spiona telefoane în mai multe țări europene.
Conform raportului Citizen Lab, publicat vineri, Kouloglou a fost spart în octombrie 2022 și de cel puțin două ori în martie 2023, printr-un exploit care exploata o vulnerabilitate de securitate în software-ul iPhone. Vulnerabilitatea fusese deja reparată de Apple, dar patch-ul nu fusese încă instalat pe telefonul lui Kouloglou. Exploit-ul era de tip „zero-click”, ceea ce înseamnă că spyware-ul a pătruns și a furat date fără ca victima să facă nimic. Bug-ul abuza de o defecțiune descoperită anterior în software-ul smart home al Apple, permițând spyware-ului să extragă mesaje text, corespondență, date de localizare și fotografii.
Momentul atacului din octombrie 2022 coincide cu discuții intense pe e-mail și mesaje text pe tot parcursul lunilor octombrie și noiembrie 2022, înainte de livrarea unui prim draft care descria abuzurile spyware-ului în Cipru, Grecia, Ungaria, Polonia și Spania. Mai mult, Kouloglou se afla în spital pentru o operație programată, ceea ce ar fi putut permite operatorilor spyware să asculte conversațiile cu medicii sau cu vizitatorii. În martie 2023, atacurile au avut loc în timp ce Kouloglou călătorea de la Atena la Bruxelles, exact în perioada audierilor comitetului, cu câteva luni înainte ca raportul final să fie adoptat.
Într-un interviu telefonic, Kouloglou a spus că nu știe de ce a fost țintit, dar crede că motivul este munca sa în cadrul comitetului PEGA. „Nu am informații specifice, dar este clar că cineva a vrut să știe ce știm noi și ce urma să publicăm”, a declarat el.
Acest caz deschide întrebări serioase despre modul în care guvernele folosesc spyware-ul, pretinzând că este necesar pentru combaterea criminalității grave, dar apoi îl folosesc pentru a spiona jurnaliști, parlamentari și critici. Pegasus, dezvoltat de NSO Group, este unul dintre cele mai puternice spyware-uri din lume, capabil să preia controlul total asupra unui telefon mobil. Deși NSO Group susține că vinde produsul doar agențiilor guvernamentale și de aplicare a legii, numeroase rapoarte arată că acesta a fost folosit pentru a spiona activiști, avocați și opozanți politici.
Comisia Europeană nu a răspuns solicitărilor TechCrunch de a comenta acest caz, iar NSO Group nu a oferit niciun răspuns înainte de publicare. Cu toate acestea, presiunile asupra Bruxelles-ului cresc. Europarlamentarii cer măsuri concrete, cum ar fi interzicerea exportului de spyware către țări cu un istoric slab al drepturilor omului și impunerea de sancțiuni pentru guvernele care abuzează de aceste instrumente.
Povestea lui Kouloglou este un avertisment sumbru: chiar și cei care investighează abuzurile pot deveni victime. În era digitală, nimeni nu este complet în siguranță, iar statele care ar trebui să protejeze cetățenii sunt adesea cele care îi spionează. Rămâne de văzut dacă acest incident va duce la reforme reale sau va fi doar un alt capitol într-o istorie a impunității.
De ce este important:
Acest caz demonstrează că spyware-ul Pegasus nu este doar o unealtă pentru combaterea criminalității, ci și o armă de supraveghere politică. Faptul că un politician care investiga abuzurile a fost spionat exact cu același instrument arată cât de vulnerabile sunt instituțiile democratice în fața tehnologiei de supraveghere. Este un semnal de alarmă pentru Uniunea Europeană, care trebuie să reglementeze strict utilizarea spyware-ului și să protejeze jurnaliștii, parlamentarii și activiștii de astfel de atacuri. Dacă nu se iau măsuri, încrederea în statul de drept și în securitatea digitală va continua să se erodeze.
