El legislador de la UE que investigó el abuso de spyware fue hackeado con Pegasus.

      Stelios Kouloglou pasó dos años en el comité del Parlamento Europeo creado para investigar el espionaje de los gobiernos a sus propios ciudadanos con herramientas de hacking comerciales. Según un informe publicado el viernes por Citizen Lab, el grupo de investigación de la Universidad de Toronto, su propio teléfono fue hackeado con el spyware Pegasus mientras se llevaba a cabo esa investigación. Kouloglou, un ex eurodiputado griego del partido de izquierda SYRIZA, sirvió como miembro suplente del comité PEGA, el órgano parlamentario formado en 2022 para examinar el uso de Pegasus y spyware similares en los estados miembros de la UE. Citizen Lab encontró evidencia forense de tres infecciones separadas en su iPhone, una en octubre de 2022 y dos más en marzo de 2023, mientras el comité estaba redactando sus hallazgos. El spyware era Pegasus, fabricado por el Grupo NSO de Israel, y Citizen Lab dice que lo identificó con alta confianza. La infección de octubre de 2022 ocurrió mientras Kouloglou estaba en el hospital para un procedimiento programado. Las otras dos llegaron dentro de un día entre sí en marzo de 2023, mientras viajaba entre Atenas y Bruselas durante la etapa final de las negociaciones sobre el informe del comité. Lo que Citizen Lab no ha hecho es nombrar quién ordenó el hackeo. La explotación se basó en una vulnerabilidad de Apple previamente parcheada que aún no se había instalado en el dispositivo de Kouloglou, un método de cero clic que no requiere acción del objetivo. Los investigadores vincularon la infraestructura detrás de esto a una campaña ya utilizada contra periodistas en otras partes de Europa, apuntando a un cliente gubernamental de NSO en lugar de a la empresa misma, aunque ese cliente sigue sin identificarse. NSO licencia Pegasus exclusivamente a agencias gubernamentales, pero eso no es lo mismo que nombrar a un atacante. Ningún país ha sido identificado como el operador, y el informe de Citizen Lab es explícito en que la atribución se detiene ahí. Kouloglou calificó la intrusión de "temeraria" y dijo que tiene la intención de demandar al Grupo NSO. Les dijo a los investigadores que solo se enteró de las infecciones en mayo, después de que un abogado lo refiriera a Citizen Lab para un chequeo del teléfono. El Grupo NSO no respondió a las solicitudes de comentarios ni de Citizen Lab ni de los reporteros que cubrieron los hallazgos. El Parlamento Europeo, preguntado sobre el caso, no abordó la situación de Kouloglou directamente. Un portavoz dijo que el equipo de seguridad informática de la institución "monitorea constantemente las amenazas cibernéticas" y que las herramientas de detección de spyware han estado disponibles para los miembros desde 2022, el mismo año en que se formó el comité PEGA. Un informe de seguimiento adoptado por el parlamento el mes pasado pidió extender esa detección a cada dispositivo que los eurodiputados utilizan para asuntos parlamentarios. Otros miembros del comité PEGA reaccionaron rápidamente. La eurodiputada alemana Hannah Neumann pidió que el parlamento finalmente implemente las recomendaciones originales del comité, que han permanecido en gran medida sin tocar desde 2023. Ron Deibert, director de Citizen Lab, describió el caso como "irónico" dado el papel de Kouloglou investigando la misma tecnología que se utilizó en su contra, y advirtió que una industria de spyware no regulada corroe la confianza en las instituciones democráticas mucho más allá de cualquier objetivo individual. El informe del comité PEGA de 2023 ya había concluido que Pegasus y herramientas comparables fueron mal utilizadas en Polonia, Hungría, Grecia y España, y pidió controles más estrictos a nivel de la UE sobre su venta y uso. Poco de eso se ha traducido en leyes vinculantes. Un caso separado de Bulgaria, donde licencias de exportación filtradas mostraron a una afiliada de NSO con sede en Sofía enviando equipos de vigilancia a agencias de inteligencia desde Azerbaiyán hasta los EAU, sugiere que la brecha de aplicación de la que advirtió el comité solo se ha ampliado desde entonces. Incluso fuera del mercado de Pegasus propiamente dicho, el spyware comercial más barato vendido a las fuerzas del orden europeas, como la falsa aplicación de WhatsApp creada por la SIO de Italia, muestra hasta dónde se ha extendido el problema subyacente más allá de un solo vendedor. El caso de Kouloglou añade un detalle personal a lo que ha sido en gran medida una lucha política abstracta. Las personas que pasaron dos años documentando el abuso de spyware para el Parlamento Europeo eran objetivos plausibles para la herramienta que estaban escrutando, y al menos uno de ellos fue atacado mientras la tinta de los hallazgos aún se estaba secando.