Un ex politico greco e membro della commissione speciale del Parlamento europeo incaricata di indagare sugli abusi dello spyware ha scoperto che il suo telefono è stato infettato con il noto spyware Pegasus. Lo rivela un rapporto del Citizen Lab dell’Università di Toronto, che ha confermato l’attacco avvenuto nel 2022 e 2023 ai danni di Stelios Kouloglou, già giornalista e allora componente della commissione PEGA. Si tratta del primo caso documentato in cui un membro di tale commissione viene identificato come vittima del software di sorveglianza israeliano.
Attacchi mirati durante le fasi cruciali dell’indagine
Secondo il Citizen Lab, Kouloglou è stato hackerato in ottobre 2022 e almeno due volte nel marzo 2023, sfruttando una vulnerabilità zero-click nel software HomeKit di Apple. Il bug permetteva l’installazione silenziosa di Pegasus senza alcuna interazione da parte della vittima, consentendo l’esfiltrazione di messaggi, foto, dati di localizzazione e persino l’attivazione del microfono per ascoltare conversazioni in corso. Il primo attacco è avvenuto mentre Kouloglou era ricoverato in ospedale per un intervento chirurgico programmato, sollevando il sospetto che gli autori volessero intercettare anche discussioni private con i visitatori. Il secondo attacco, a marzo 2023, ha colpito il telefono mentre il politico viaggiava da Atene a Bruxelles, in coincidenza con le audizioni della commissione PEGA e la stesura della bozza del rapporto finale.
Sponsored Protocol
Un attacco diretto allo stato di diritto
Kouloglou ha dichiarato a TechCrunch di essere “arrabbiato” nello scoprire che tutti i suoi dati personali erano stati rubati, compresi “momenti felici e tristi” della sua vita privata. Un altro eurodeputato in carica ha definito l’hacking “un attacco diretto allo stato di diritto” e ha chiesto alla Commissione europea di imporre limiti stringenti all’uso dello spyware in tutti i 27 Stati membri. Il rapporto del Citizen Lab non attribuisce l’attacco a un paese specifico, ma sottolinea che l’indirizzo email utilizzato per l’attacco era lo stesso impiegato in precedenti campagne contro giornalisti europei, suggerendo la responsabilità di un cliente governativo autorizzato da NSO Group.
Sponsored Protocol
Le vulnerabilità zero-click e i rischi per la sicurezza
L’exploit utilizzato sfruttava una falla nel software HomeKit di Apple, già corretta con un aggiornamento ma non ancora installata sul dispositivo di Kouloglou. Questo caso evidenzia l’importanza di mantenere i sistemi sempre aggiornati, anche se la natura zero-click rende difficile proteggersi senza patch tempestive. La vicenda riaccende il dibattito sull’uso improprio degli spyware da parte dei governi, che spesso giustificano l’adozione di questi strumenti per la lotta alla criminalità grave, ma finiscono per spiare giornalisti, attivisti e oppositori politici. A differenza delle funzionalità di sicurezza introdotte da Apple con iOS 27 per rilevare truffe in tempo reale, Pegasus opera silenziosamente e senza lasciare tracce evidenti. Per approfondire come difendersi da minacce simili, leggi il nostro articolo su iOS 27 Trust Insights.
Sponsored Protocol
Reazioni e conseguenze legali
Kouloglou ha annunciato l’intenzione di fare causa a NSO Group, l’azienda israeliana produttrice di Pegasus, che è già stata al centro di numerose controversie per violazioni dei diritti umani. Negli Stati Uniti, un ordine esecutivo dell’era Biden ha vietato l’uso governativo di spyware che possano violare i diritti umani, portando di fatto a un bando di Pegasus nel paese. Nonostante ciò, NSO Group ha recentemente ottenuto finanziamenti da un gruppo di investitori americani anonimi, probabilmente per tentare di riabilitare la propria immagine. Il caso Kouloglou rappresenta un ulteriore campanello d’allarme per l’Unione europea, chiamata a regolamentare più severamente il mercato della sorveglianza digitale. Per maggiori informazioni sullo spyware Pegasus, consulta la pagina Wikipedia dedicata.
