Pesquisadores de segurança confirmaram que o ex-político grego Stelios Kouloglou teve seu celular invadido pelo spyware Pegasus enquanto atuava em um comitê investigativo que apura abusos relacionados a esta ferramenta de vigilância. O caso reacende a controvérsia sobre o uso indevido de spyware por governos para coletar informações de críticos.

De acordo com a unidade de direitos digitais Citizen Lab da Universidade de Toronto, a invasão do celular de Kouloglou entre 2022 e 2023 é a primeira vez que um membro do comitê PEGA do Parlamento Europeu, encarregado de investigar ataques com spyware por governos europeus, é publicamente identificado como vítima. Em entrevista ao TechCrunch, Kouloglou descreveu a invasão de seu telefone como “irresponsável”.

Implicações do ataque e reação política

Um legislador europeu em exercício considerou a invasão do celular de Kouloglou um “ataque direto ao Estado de direito” e pediu à Comissão Europeia que tome medidas concretas, impondo limites rigorosos ao uso de spyware nos 27 Estados-membros da União Europeia. Embora ataques de spyware a legisladores sejam raros, a escolha de um investigador do comitê e o uso do próprio spyware que ele investiga levantam questões sobre a atenção que os governos estão dando às atividades internas do comitê, especialmente antes de um relatório amplamente aguardado.

Os pesquisadores da Citizen Lab não atribuíram a invasão a um país específico, mas informaram que o cliente do governo utilizou o mesmo endereço de e-mail carregado com Pegasus que foi empregado em uma campanha anterior que atacou jornalistas na Europa. A identidade do cliente não é conhecida, mas a reutilização do mesmo endereço indica que ele tinha autorização do NSO Group para usar o spyware em diversos países europeus.

Detalhes da invasão e planos futuros

No relatório publicado na sexta-feira, a Citizen Lab revelou que Kouloglou foi hackeado em outubro de 2022 e pelo menos duas vezes em março de 2023, usando uma vulnerabilidade de segurança no software do iPhone da Apple. Essa vulnerabilidade já havia sido corrigida, mas a atualização não foi instalada no telefone de Kouloglou. O ataque utilizou um bug “zero-click”, que permitiu que o spyware acessasse dados pessoais sem qualquer interação do usuário.

A invasão em outubro de 2022 coincide com intensas discussões sobre e-mails e mensagens de texto que ocorreram durante outubro e novembro, antes da entrega de um rascunho inicial sobre abusos de spyware em países como Chipre, Grécia, Hungria, Polônia e Espanha. Além disso, o ataque ocorreu enquanto Kouloglou estava hospitalizado para uma cirurgia programada, o que pode ter permitido que os operadores do spyware escutassem conversas sobre sua saúde.

Após o ataque em março, enquanto viajava de Atenas a Bruxelas, Kouloglou expressou sua indignação ao descobrir que seu telefone havia sido hackeado, ressaltando a invasão de sua privacidade e a perda de dados pessoais. Ele planeja processar o NSO Group, a empresa israelense responsável pelo spyware, que enfrenta restrições nos Estados Unidos devido a um decreto que proíbe seu uso quando pode violar direitos humanos.

Kouloglou declarou que está tornando sua história pública “em prol da democracia, dos direitos humanos e da luta contra a corrupção”, enfatizando que a corrupção é uma preocupação de todos.