Il Citizen Lab, il laboratorio di ricerca digitale dell’Università di Toronto, ha confermato che il telefono di un politico europeo è stato infettato dallo spyware Pegasus mentre l’uomo faceva parte della commissione incaricata di indagare proprio sugli abusi di questo tipo di software di sorveglianza. La vittima è il giornalista ed ex europarlamentare greco Stelios Kouloglou: è la prima volta che un membro della commissione PEGA del Parlamento europeo viene identificato pubblicamente come bersaglio di uno spyware.
L’attacco di Pegasus durante le indagini
Secondo il rapporto pubblicato venerdì da Citizen Lab, il telefono di Kouloglou è stato compromesso una prima volta nell’ottobre 2022 e almeno altre due volte nel marzo 2023, sfruttando una falla di sicurezza nel software per la smart home di Apple, già corretta ma non ancora installata sul dispositivo. Si è trattato di un attacco “zero click”: lo spyware si è infiltrato senza bisogno di alcuna interazione da parte della vittima, sottraendo messaggi, dati di localizzazione e fotografie.
Tempistiche che parlano da sole
Il primo attacco coincide con settimane di fitte discussioni via email e messaggi in vista della bozza del rapporto della commissione sugli abusi dello spyware in Cipro, Grecia, Ungheria, Polonia e Spagna. Kouloglou era inoltre ricoverato in ospedale per un intervento chirurgico programmato, circostanza che potrebbe aver permesso agli operatori dello spyware di origliare conversazioni sulla sua salute o con i visitatori. Il secondo episodio, tra il 6 e il 7 marzo 2023, è avvenuto mentre l’ex parlamentare viaggiava da Atene a Bruxelles, durante un ciclo di audizioni della commissione e mesi prima dell’adozione del rapporto finale.
Il cliente di Pegasus resta senza nome
Citizen Lab non ha attribuito l’attacco a un governo specifico, ma ha rilevato che l’indirizzo email usato per veicolare Pegasus è lo stesso già impiegato in una precedente campagna contro giornalisti europei. Il riutilizzo dello stesso indirizzo suggerisce che il cliente avesse l’autorizzazione di NSO Group per usare Pegasus su telefoni in più paesi del blocco comunitario. La Commissione europea non ha risposto alle richieste di commento di TechCrunch, così come NSO Group.
Kouloglou pronto a fare causa a NSO Group
Kouloglou ha definito “sconsiderata” la violazione del suo telefono e ha raccontato la rabbia provata nello scoprire che erano stati sottratti non solo gli scambi professionali con i ministri, ma anche i momenti privati, felici e tristi, della sua vita. L’ex parlamentare ha annunciato l’intenzione di fare causa a NSO Group, la società israeliana che sviluppa Pegasus e rimasta in gran parte bandita negli Stati Uniti dopo l’ordine esecutivo dell’amministrazione Biden contro l’uso di spyware capace di violare i diritti umani. Lo scorso anno la stessa azienda aveva confermato l’arrivo di decine di milioni di dollari da un gruppo di investitori americani non identificato, in quella che sembrava un’operazione per risollevare la propria immagine, dopo che la giustizia americana aveva messo la parola fine allo spyware israeliano in un altro procedimento.
La commissione PEGA e il precedente
Un europarlamentare, di cui non è stato reso noto il nome, ha definito l’attacco a Kouloglou “un attacco diretto allo stato di diritto” e ha chiesto alla Commissione europea di imporre limiti più stringenti all’uso dello spyware nei 27 paesi membri. Il caso riaccende le tensioni sull’uso di strumenti di sorveglianza venduti ufficialmente per la lotta al crimine, ma finiti più volte a spiare giornalisti, parlamentari e oppositori politici in diversi stati dell’Unione.
Fonte: TechCrunch
