Investigadores de segurança confirmaram que um político europeu teve o seu telefone hackeado pelo spyware Pegasus enquanto fazia parte de um comité de investigação que investigava o abuso da notória ferramenta de vigilância. Esta nova controvérsia reinou sobre os governos que utilizavam spyware para coletar informações sobre seus críticos.
Pesquisadores da unidade de direitos digitais da Universidade de Toronto, The Citizen Lab, dizem que o hackeamento telefônico confirmado do jornalista e ex-político grego Stelios Kouloglou em 2022 e 2023 marca a primeira vez que um membro do comitê PEGAE do Parlamento Europeu, encarregado de investigar ataques de spyware por governos europeus, foi publicamente identificado como vítima de spyware.
Kouloglou disse ao TechCrunch em um telefonema que o compromisso deliberado do telefone foi “imprudente”. Um legislador europeu descreveu a escuta telefónica de Kouloglou como um “ataque direto ao Estado de direito” e apelou à Comissão Europeia para que tome medidas concretas, impondo limites estritos à utilização de spyware no bloco de 27 estados-membros.
Embora os ataques de spyware a legisladores sejam raros, o timing e o esforço da equipa de investigação da comissão sobre spyware na sua investigação sugerem um foco intenso no funcionamento interno da comissão antes do seu amplamente aguardado relatório detalhando as suas conclusões. Os hacks levantam novas questões sobre como os governos revelam o spyware necessário para identificar crimes graves, mas os espiões são apanhados desprevenidos por jornalistas, legisladores e críticos.
Os investigadores do Citizen Lab não atribuíram a pirataria telefónica a um país específico, mas disseram que o mesmo servidor de e-mail carregado com Pegaso foi usado numa campanha anterior que invadiu telefones de jornalistas em toda a Europa. A identidade do cliente é desconhecida, mas a reutilização do mesmo endereço de e-mail implica que o cliente tinha o poder do Grupo NSO para usar o seu spyware Pegaso para bisbilhotar telefones em muitos países da Europa.
Um porta-voz da Comissão Europeia não respondeu ao pedido de comentários do TechCrunch. O Grupo NSO também não adicionou um pedido de comentário sobre o relatório do Citizen Lab antes da publicação.
Em seu relatório na sexta-feiraCitizen Lab Kouloglou disse que foi hackeado em outubro de 2022 e pelo menos duas vezes em março de 2023 usando um hacker que julgou uma vulnerabilidade de segurança no software do iPhone da Apple. Esta vulnerabilidade já existia há séculos, mas o patch ainda não havia sido instalado no telefone de Kouloglou. O truque era um bug “no-click”, ou seja, o spyware quebrou e roubou seus dados, sem exigir nenhuma interação dela.
O bug foi explorado antes que uma falha fosse descoberta no software doméstico inteligente da Apple usado em iPhones. O spyware permitiu-lhe obter informações privadas do telefone de Kouloglou sem o seu conhecimento, tais como mensagens de texto e outras correspondências, informações de localização e fotos.
O hack de outubro de 2022 coincidiu com intensas comunicações por e-mail e texto durante outubro e novembro de 2022, antes da entrega do primeiro rascunho descrevendo explorações de spyware em Chipre, Grécia, Hungria, Polónia e Espanha.
O hack também estava no hospital de Kouloglou no momento em que ele estava no pré-operatório para uma cirurgia, o que permitiu que os trabalhadores do spyware ouvissem gravações de áudio ambiente de seu tratamento ou outras conversas que ele teve com visitantes no momento.
Após os meses de 6 e 7 de abril, o Citizen Lab Kouloglou disse que o telefone foi hackeado novamente pela mesma operadora Pegasus, enquanto Kouloglou viajou de Atenas para Bruxelas, durante a audiência e meses das comissões anteriores na comissão para finalizar e capturar o relatório escrito.
Na ligação, Kouloglou disse ao TechCrunch que não sabe por que foi especificamente alvo, mas acredita que Pegasus se deve ao seu trabalho na investigação de abusos nas eleições parlamentares europeias.
Ele descreve sua raiva quando percebeu que seu telefone havia sido hackeado.
“Você conhece todos os seus dados pessoais (obtidos) – não todas as trocas profissionais ou mensagens com funcionários – mas também coisas privadas, como momentos felizes e momentos tristes”, disse ele ao TechCrunch.
Kouloglou disse que planeja processar o NSO Group, fabricante de spyware com sede em Israel. O uso do NSO foi amplamente proibido nos Estados Unidos sob uma ordem executiva da era Biden que proibiu o uso pelo governo de spyware que poderia violar os direitos das pessoas.
No ano passado, uma empresa americana não identificada que investiu numa marca de spyware confirmou que tinha investido dezenas de milhões de dólares na empresa, provavelmente como parte de um esforço para reabilitar a marca NSO sitiada associada a violações dos direitos humanos.
Kouloglou disse que seguiria a história “para lutar pela democracia, pelos direitos humanos e contra a corrupção”.
“Há corrupção em todos”, disse ele.
Quando você compra através dos links de nossos artigos, podemos ganhar uma pequena comissão. Isto não afeta a nossa independência editorial.
