セキュリティ研究者らは、欧州の政治家が悪名高い監視ツール「ペガサス」の乱用を調査する委員会に参加中、そのスパイウェアで自身のスマートフォンをハッキングされたことを確認した。この事件は、政府が批判者に関する情報収集のためにスパイウェアを悪用しているという新たな論争を巻き起こしている。

トロント大学のデジタル権利部門「シチズン・ラボ」の研究者らによると、ギリシャのジャーナリストで元政治家のステリオス・クーログルー氏が2022年から2023年にかけてスマートフォンをハッキングされたことが確認された。これは、欧州政府によるスマートフォンへのスパイウェア攻撃を調査する欧州議会のPEGA委員会のメンバーが、スパイウェアの被害者として公に特定された初めてのケースとなる。

クーログルー氏はTechCrunchへの電話で、自身のスマートフォンが意図的に侵害されたことは「無謀だ」と語った。現職の欧州議員の一人は、クーログルー氏のスマートフォンへのハッキングを「法の支配への直接的な攻撃」と表現し、欧州委員会に対し、27の加盟国ブロック全体でのスパイウェア使用に厳しい制限を課す具体的な行動を取るよう求めた。

議員へのスパイウェア攻撃は稀だが、委員会の調査官が調査中のスパイウェアそのものによって標的にされた時期とタイミングは、広く待たれていた調査結果報告書の発表を前に、委員会の内部活動に強い関心が寄せられていたことを示唆している。このハッキングは、政府が重大犯罪の特定に必要とされるスパイウェアを、ジャーナリストや議員、批判者の通信を盗聴するために使用しているという新たな疑問を提起する。

シチズン・ラボの研究者らは、このスマートフォンハッキングを特定の国によるものとは断定しなかったが、政府顧客が以前に欧州全域のジャーナリストのスマートフォンをハッキングしたキャンペーンで使用されたものと同じペガサスを搭載した電子メールアドレスを使用したと述べた。顧客の身元は不明だが、同じ攻撃用メールアドレスが再利用されたことは、その顧客がNSOグループからペガサス・スパイウェアを使用して欧州の複数国でスマートフォンを盗聴する許可を得ていたことを示唆している。

欧州委員会の報道官はTechCrunchのコメント要請に応じなかった。NSOグループも、公開前のシチズン・ラボの報告書に関するコメント要請に応じなかった。

金曜日に発表された報告書で、シチズン・ラボは、クーログルー氏が2022年10月と2023年3月に少なくとも2回、AppleのiPhoneソフトウェアのセキュリティ脆弱性を悪用したエクスプロイトを使用してハッキングされたと述べた。この脆弱性は修正されていたが、クーログルー氏のスマートフォンにはまだ修正がインストールされていなかった。このエクスプロイトは「ゼロクリック」バグであり、スパイウェアは彼の操作を必要とせずに侵入し、データを盗んだ。

このバグは、iPhoneで使用されるAppleのスマートホームソフトウェアで以前に発見された欠陥を悪用した。これにより、スパイウェアはクーログルー氏のスマートフォンからテキストメッセージやその他の通信、位置情報、写真などの個人データを彼の知らないうちに取得することができた。

2022年10月のハッキングのタイミングは、キプロス、ギリシャ、ハンガリー、ポーランド、スペインに焦点を当てたスパイウェア乱用を説明する最初の草稿が提出される前の、2022年10月から11月にかけての電子メールやテキストメッセージでの激しい議論と一致する。

また、ハッキングはクーログルー氏が予定された手術のために入院していた時期と正確に重なっており、スパイウェアの運営者が彼の医療に関する周囲の音声や、当時の訪問者との会話を盗聴できた可能性がある。

数ヶ月後の3月6日と7日、シチズン・ラボは、クーログルー氏がアテネからブリュッセルへ移動中、同じペガサス運営者によって再びスマートフォンをハッキングされたと述べた。これは委員会の公聴会期間中であり、委員会が書面による報告書草案を最終化し採択する数ヶ月前のことだった。

電話で、クーログルー氏はTechCrunchに、なぜ自分が標的にされたのかは分からないが、ペガサスの乱用を調査する欧州議会委員会での仕事が原因だと信じていると語った。

彼は、ハッキングを知った時の怒りを「言葉にできない」と表現した。