Säkerhetsforskare har bekräftat att en europeisk politiker fick sin telefon hackad med Pegasus-spionprogrammet medan han satt i en utredningskommitté som granskade missbruk av det ökända övervakningsverktyget. Detta har återigen väckt kontroverser om regeringars missbruk av spionprogram för att samla information om sina kritiker.
Forskarna vid University of Torontos digitala rättighetsenhet The Citizen Lab säger att den bekräftade telefonhackningen av den grekiske journalisten och före detta politikern Stelios Kouloglou under 2022 och 2023 markerar första gången som en medlem av Europaparlamentets PEGA-kommitté, som har i uppdrag att utreda telefonhackningar med spionprogram av europeiska regeringar, offentligt har identifierats som ett offer för spionprogram.
Kouloglou sa till TechCrunch i ett telefonsamtal att den avsiktliga komprometteringen av hans telefon var "vårdslös". En sittande europeisk lagstiftare beskrev hackningen av Kouloglous telefon som en "direkt attack mot rättsstatsprincipen" och uppmanade Europeiska kommissionen att vidta konkreta åtgärder genom att införa strikta begränsningar för användningen av spionprogram i hela unionen med 27 medlemsstater.
Även om spionprogramsattacker mot lagstiftare är sällsynta, tyder tidpunkten och målet – en kommittéutredare som hackas med just det spionprogram han utredde – på ett intensivt fokus på kommitténs interna arbete inför en efterlängtad rapport som detaljerar dess resultat. Hackningarna väcker nya frågor om hur regeringar använder spionprogram som påstås behövas för att identifiera allvarlig brottslighet, men som sedan ertappas med att spionera på kommunikationen från journalister, lagstiftare och kritiker.
Citizen Labs forskare tillskrev inte telefonhackningen till ett specifikt land, men sa att regeringskunden använde samma Pegasus-laddade e-postadress som användes i en tidigare kampanj som hackade journalisters telefoner i hela Europa. Kundens identitet är inte känd, men återanvändningen av samma angripande e-postadress innebär att kunden hade NSO Groups tillstånd att använda sitt Pegasus-spionprogram för att tjuvlyssna på telefoner i flera europeiska länder.
En talesperson för Europeiska kommissionen svarade inte på TechCrunchs begäran om kommentar. NSO Group svarade inte heller på en begäran om kommentar om Citizen Lab-rapporten före publicering.
I sin rapport som kom ut på fredagen sa Citizen Lab att Kouloglou hackades i oktober 2022 och minst två gånger under mars 2023 med hjälp av en exploit som utnyttjade en säkerhetssårbarhet i Apples iPhone-mjukvara. Denna sårbarhet hade åtgärdats men uppdateringen var ännu inte installerad på Kouloglous telefon. Exploiten var en "zero-click"-bugg, vilket innebär att spionprogrammet bröt sig in och stal hans data utan att han behövde interagera.
Buggen utnyttjade en tidigare upptäckt svaghet i Apples smarta hem-mjukvara som används i iPhones. Den tillät spionprogrammet att hämta privat data från Kouloglous telefon utan hans vetskap, såsom hans textmeddelanden och annan korrespondens, platsdata och foton.
Tidpunkten för hackningen i oktober 2022 sammanfaller med intensiva diskussioner via e-post och sms under hela oktober och november 2022, inför leveransen av ett första utkast som beskriver spionprogramsmissbruk med fokus på Cypern, Grekland, Ungern, Polen och Spanien.
Hackningen sammanfaller också exakt med den tid då Kouloglou låg på sjukhus för en planerad operation, vilket kan ha gjort det möjligt för spionprogramsoperatörerna att lyssna på omgivande ljud om hans sjukvård eller andra samtal han hade med besökare vid den tiden.
Månader senare, den 6 och 7 mars, sa Citizen Lab att Kouloglous telefon hackades igen av samma Pegasus-operatör medan Kouloglou reste från Aten till Bryssel, under en period av kommittéutfrågningar och månader innan kommittén slutförde och antog sitt skriftliga utkast till rapport.
I ett samtal sa Kouloglou till TechCrunch att han inte visste varför han specifikt var måltavla, men att han tror att det berodde på hans arbete i Europaparlamentets kommitté som utreder Pegasus-missbruk.
Han beskrev ilska när han fick veta att h