Investigadores de seguridad han confirmado que un político europeo tuvo su teléfono hackeado con el software espía Pegasus mientras formaba parte de un comité de investigación que indagaba sobre los abusos de esta notoria herramienta de vigilancia. Esto ha reavivado la controversia sobre los gobiernos que utilizan software espía para recopilar información sobre sus críticos.\n\nLos investigadores de la unidad de derechos digitales de la Universidad de Toronto, Citizen Lab, afirman que la confirmación del hackeo al teléfono del periodista griego y ex político Stelios Kouloglou durante 2022 y 2023 marca la primera vez que un miembro del comité PEGA del Parlamento Europeo, encargado de investigar los ataques de software espía por parte de gobiernos europeos, ha sido identificado públicamente como víctima de espionaje.\n\nKouloglou dijo a TechCrunch en una llamada telefónica que la intrusión deliberada en su teléfono fue "temeraria". Un legislador europeo en funciones describió el hackeo del teléfono de Kouloglou como un "ataque directo al estado de derecho" y pidió a la Comisión Europea que tome medidas concretas imponiendo límites estrictos al uso de software espía en los 27 estados miembros.\n\nSi bien los ataques de software espía a legisladores son raros, el momento y el objetivo de un investigador del comité mediante el mismo software espía que investigaba sugiere un enfoque intenso en el funcionamiento interno del comité antes de un informe ampliamente esperado que detalla sus hallazgos. Los hackeos abren nuevas preguntas sobre cómo los gobiernos utilizan software espía supuestamente necesario para identificar delitos graves, pero luego son sorprendidos espiando las comunicaciones de periodistas, legisladores y críticos.\n\nLos investigadores de Citizen Lab no atribuyeron el hackeo telefónico a un país específico, pero dijeron que el cliente gubernamental utilizó la misma dirección de correo electrónico cargada con Pegasus que se usó en una campaña anterior que hackeó los teléfonos de periodistas en toda Europa. La identidad del cliente no se conoce, pero la reutilización de la misma dirección de correo electrónico atacante implica que el cliente tenía la autorización de NSO Group para usar su software espía Pegasus para espiar teléfonos en múltiples países de Europa.\n\nUn portavoz de la Comisión Europea no respondió a la solicitud de comentarios de TechCrunch. NSO Group tampoco respondió a una solicitud de comentarios sobre el informe de Citizen Lab antes de su publicación.\n\nEn su informe publicado el viernes, Citizen Lab dijo que Kouloglou fue hackeado en octubre de 2022 y al menos dos veces durante marzo de 2023 utilizando un exploit que comprometía una vulnerabilidad de seguridad en el software del iPhone de Apple. Esta vulnerabilidad había sido parcheada, pero la corrección aún no estaba instalada en el teléfono de Kouloglou. El exploit era un error de "clic cero", lo que significa que el software espía entró y robó sus datos sin necesidad de ninguna interacción de su parte.\n\nEl error abusó de una falla previamente descubierta en el software de hogar inteligente de Apple utilizado en los iPhones. Permitió que el software espía obtuviera datos privados del teléfono de Kouloglou sin su conocimiento, como sus mensajes de texto y otra correspondencia, datos de ubicación y fotos.\n\nEl momento del hackeo de octubre de 2022 coincide con discusiones intensas por correo electrónico y mensajes de texto durante octubre y noviembre de 2022, antes de la entrega de un primer borrador que describía los abusos de software espía centrados en Chipre, Grecia, Hungría, Polonia y España.\n\nEl hackeo también coincide exactamente con el momento en que Kouloglou estaba en el hospital para una cirugía programada, lo que pudo haber permitido a los operadores del software espía escuchar el audio ambiental discutiendo su atención médica u otras conversaciones que tuvo con los visitantes en ese momento.\n\nMeses después, el 6 y 7 de marzo, Citizen Lab dijo que el teléfono de Kouloglou fue hackeado nuevamente por el mismo operador de Pegasus mientras Kouloglou viajaba de Atenas a Bruselas, durante un período de audiencias del comité y meses antes de que el comité finalizara y adoptara su borrador de informe escrito.\n\nEn una llamada, Kouloglou dijo a TechCrunch que no sabía por qué fue específicamente atacado, pero que cree que fue debido a su trabajo en el comité del Parlamento Europeo que investiga los abusos de Pegasus.\n\nDescribió enojo cuando se enteró del hackeo.