Un político europeo investigado por abusos de spyware fue hackeado con Pegasus

Investigadores de seguridad confirmaron que el eurodiputado griego Stelios Kouloglou fue hackeado con el spyware Pegasus mientras formaba parte de un comité del Parlamento Europeo que investigaba abusos relacionados con esta herramienta de vigilancia. Este hecho ha suscitado una nueva controversia sobre el uso indebido de spyware por parte de los gobiernos para obtener información sobre sus críticos.

Los expertos del Citizen Lab de la Universidad de Toronto señalaron que este es el primer caso conocido en el que un miembro del comité PEGA del Parlamento Europeo, que investiga ataques de spyware por parte de gobiernos europeos, ha sido identificado públicamente como víctima de un hackeo. Kouloglou afirmó que la intromisión en su teléfono fue "temeraria" y que representa un ataque directo al estado de derecho, instando a la Comisión Europea a tomar medidas concretas para limitar el uso de spyware en los 27 estados miembros de la Unión Europea.

A pesar de que los ataques de spyware a legisladores son poco frecuentes, la elección de un investigador de un comité que se ocupa de la vigilancia sugiere un interés particular en las dinámicas internas del mismo, justo antes de la publicación de un informe anticipado sobre sus hallazgos. Esto plantea interrogantes sobre cómo los gobiernos utilizan spyware, que supuestamente está destinado a la lucha contra el crimen, para espiar las comunicaciones de periodistas, legisladores y opositores.

Los investigadores de Citizen Lab no pudieron atribuir el hackeo a un país específico, pero indicaron que el cliente gubernamental utilizó la misma dirección de correo electrónico cargada con Pegasus que había sido empleada en una campaña previa que comprometió los teléfonos de periodistas en Europa. Aunque no se conoce la identidad del cliente, el uso repetido de la misma dirección de correo electrónico sugiere que tenía autorización de NSO Group para utilizar su spyware en varios países europeos.

Un portavoz de la Comisión Europea no respondió a las solicitudes de comentarios sobre el asunto. NSO Group tampoco se pronunció sobre el informe del Citizen Lab antes de su publicación.

En un informe publicado el pasado viernes, Citizen Lab reveló que Kouloglou fue hackeado en octubre de 2022 y al menos en dos ocasiones durante marzo de 2023, utilizando un exploit que comprometió una vulnerabilidad de seguridad en el software del iPhone de Apple. Esta vulnerabilidad había sido corregida, pero la solución no había sido instalada en el teléfono de Kouloglou. El exploit utilizado fue un bug de "cero clic", lo que significa que el spyware pudo infiltrarse y robar datos sin necesidad de que Kouloglou interactuara con su dispositivo.

El bug aprovechó una falla previamente descubierta en el software de hogar inteligente de Apple, lo que permitió al spyware acceder a datos privados del teléfono de Kouloglou sin su conocimiento, incluyendo mensajes de texto, correspondencia, datos de ubicación y fotos.

El hackeo de octubre de 2022 coincidió con discusiones intensas a través de correos electrónicos y mensajes de texto durante ese mes y noviembre, antes de la entrega de un primer borrador que detallaba abusos de spyware en Chipre, Grecia, Hungría, Polonia y España. Además, el hackeo ocurrió en un momento en que Kouloglou se encontraba hospitalizado por una cirugía programada, lo que podría haber permitido a los operadores del spyware escuchar conversaciones sobre su atención médica o intercambios con visitantes.

Meses después, el 6 y 7 de marzo, Citizen Lab informó que el teléfono de Kouloglou fue hackeado nuevamente por el mismo operador de Pegasus mientras viajaba de Atenas a Bruselas, durante un período de audiencias del comité y meses antes de que este finalizara y adoptara su informe por escrito.

En una conversación, Kouloglou expresó que no sabía por qué fue específicamente objetivo, pero cree que se debió a su trabajo en el comité del Parlamento Europeo que investiga abusos de Pegasus.

Al enterarse de que su teléfono había sido hackeado, sintió indignación. "Te das cuenta de que todos tus datos personales fueron robados, no solo los intercambios profesionales o mensajes con ministros, sino también cosas muy privadas, como momentos felices y tristes", declaró Kouloglou.

El político planea demandar a NSO Group, el fabricante de spyware con sede en Israel, que sigue en gran medida prohibido en los Estados Unidos tras una orden ejecutiva de la administración de Biden que prohibió el uso de spyware que pudiera violar los derechos humanos de las personas.

El año pasado, NSO Group confirmó que un grupo de inversión estadounidense no identificado había canalizado decenas de millones de dólares en la compañía, probablemente como parte de un esfuerzo por rehabilitar su marca, que ha sido asociada con abusos de derechos humanos.

Kouloglou afirmó que está haciendo pública su historia "por la democracia, los derechos humanos y la lucha contra la corrupción". "La corrupción concierne a todos", concluyó.