Político que investigou abusos de spyware teve seu telefone hackeado com spyware Pegasus

Investigadores de segurança confirmaram que um político europeu teve o seu telefone pirateado com o spyware Pegasus enquanto fazia parte de uma comissão de investigação que investigava abusos da notória ferramenta de vigilância. Isto reacendeu uma nova controvérsia sobre o abuso de spyware pelos governos para recolher informações sobre os seus críticos.

Os pesquisadores da unidade de direitos digitais da Universidade de Toronto, The Citizen Lab, dizem que o hackeamento telefônico confirmado do jornalista e ex-político grego Stelios Kouloglou durante 2022 e 2023 marca a primeira vez que um membro do comitê PEGA do Parlamento Europeu, encarregado de investigar ataques de spyware telefônico por governos europeusfoi publicamente identificado como vítima de spyware.

Kouloglou disse ao TechCrunch por telefone que o comprometimento deliberado de seu telefone foi “imprudente”. Um legislador europeu em exercício descreveu a pirataria informática ao telefone de Kouloglou como um “ataque direto ao Estado de direito” e apelou à Comissão Europeia para que tomasse medidas concretas, impondo limites estritos à utilização de spyware em todo o bloco de 27 estados-membros.

Embora os ataques de spyware a legisladores sejam raros, o momento e o alvo de um investigador do comité através do próprio spyware sob a sua investigação sugere um foco intenso no funcionamento interno do comité antes de um relatório amplamente aguardado detalhando as suas conclusões. Os hacks levantam novas questões sobre como os governos usam spyware aparentemente necessário para identificar crimes graves, mas depois são apanhados a espiar as comunicações de jornalistas, legisladores e críticos.

Os investigadores do Citizen Lab não atribuíram a pirataria telefónica a um país específico, mas disseram que o cliente governamental usou o mesmo endereço de e-mail carregado com Pegasus que foi usado numa campanha anterior que invadiu telefones de jornalistas em toda a Europa. A identidade do cliente não é conhecida, mas a reutilização do mesmo endereço de e-mail de ataque implica que o cliente tinha autorização do Grupo NSO para usar o seu spyware Pegasus para espionar telefones em vários países da Europa.

Um porta-voz da Comissão Europeia não respondeu ao pedido de comentários do TechCrunch. O Grupo NSO também não respondeu a um pedido de comentário sobre o relatório do Citizen Lab antes da publicação.

Em seu relatório será lançado na sexta-feiraCitizen Lab disse que Kouloglou foi hackeado em outubro de 2022 e pelo menos duas vezes durante março de 2023 usando uma exploração que comprometeu uma vulnerabilidade de segurança no software do iPhone da Apple. Esta vulnerabilidade foi corrigida, mas a correção ainda não foi instalada no telefone de Kouloglou. A exploração foi uma Bug de “clique zero”o que significa que o spyware invadiu e roubou seus dados sem precisar de qualquer interação de sua parte.

O erro abusou de um previamente descoberto falha no software doméstico inteligente da Apple usado em iPhones. Isso permitiu que o spyware capturasse dados privados do telefone de Kouloglou sem o seu conhecimento, como mensagens de texto e outras correspondências, dados de localização e fotos.

O momento do hackeamento de outubro de 2022 coincide com intensas discussões sobre e-mail e mensagens de texto durante outubro e novembro de 2022, antes da entrega de um primeiro rascunho que descreve abusos de spyware com foco em Chipre, Grécia, Hungria, Polônia e Espanha.

O hack também se alinha no momento exato em que Kouloglou estava no hospital para uma cirurgia pré-agendada, o que pode ter permitido que os operadores de spyware ouvissem o áudio ambiente discutindo seus cuidados de saúde ou outras conversas que ele teve com visitantes na época.

Meses depois, em 6 e 7 de março, o Citizen Lab disse que o telefone de Kouloglou foi hackeado novamente pela mesma operadora Pegasus enquanto Kouloglou viajava de Atenas para Bruxelas, durante um período de audiências do comitê e meses antes de o comitê finalizar e adotar seu projeto de relatório escrito.

Numa chamada, Kouloglou disse ao TechCrunch que não sabia porque foi especificamente alvo, mas que acredita que foi devido ao seu trabalho na comissão do Parlamento Europeu que investiga os abusos do Pegasus.

Ele descreveu a raiva quando soube que seu telefone havia sido hackeado.

“Você percebe que todos os seus dados pessoais (foram coletados) – não todas as trocas profissionais ou mensagens com ministros – mas também as coisas muito privadas, como os momentos felizes e os momentos tristes”, disse ele ao TechCrunch.

Kouloglou disse que planeja processar o NSO Group, fabricante de spyware com sede em Israel. O uso do NSO continua amplamente proibido nos Estados Unidos após uma ordem executiva da era Biden que proibiu o uso pelo governo de spyware que poderia violar os direitos humanos das pessoas.

No ano passado, o fabricante de spyware confirmou um grupo de investimento americano não identificado canalizou dezenas de milhões de dólares na empresa, provavelmente como parte de um esforço para reabilitar a marca sitiada associada da NSO em permitir violações dos direitos humanos.

Kouloglou disse que iria tornar pública a sua história “pela democracia, pelos direitos humanos e pela luta contra a corrupção”.

“A corrupção diz respeito a todos”, disse ele.