Το καλοκαίρι του 2022, ο Έλληνας πολιτικός Στέλιος Κούλογλου διερευνούσε τον τρόπο με τον οποίο είχε χρησιμοποιηθεί λογισμικό υποκλοπής για να παραβιαστούν οι λογαριασμοί επιχειρηματιών, αξιωματούχων των αρχών επιβολής του νόμου και πολιτικών. Ως μέλος της Επιτροπής PEGA του Ευρωπαϊκού Κοινοβουλίου, η οποία συστάθηκε για να διερευνήσει τη χρήση του διαβόητου λογισμικού υποκλοπής «Pegasus» και άλλων παραλλαγών του, ο Κούλογλου ταξίδεψε για να πάρει συνεντεύξεις από θύματα του λογισμικού υποκλοπής και να διερευνήσει υποθέσεις υψηλού προφίλ. Εκείνο το φθινόπωρο, σύμφωνα με μια νέα εγκληματολογική ανάλυση, το iPhone του Κούλογλου παραβιάστηκε με το ίδιο ακριβώς λογισμικό υποκλοπής «Pegasus» που βρισκόταν στο επίκεντρο των ερευνών.
«Δεν το περίμενα αυτό», δηλώνει στο WIRED ο Κούλογλου, ο δημοσιογράφος που διετέλεσε ευρωβουλευτής από το 2015 έως το 2024. Λέει ότι όταν ανακάλυψε πρόσφατα ότι η συσκευή του είχε παραβιαστεί από το ισχυρό λογισμικό υποκλοπής, σοκαρίστηκε και στη συνέχεια θύμωσε.
«Το γεγονός ότι ήμουν μέλος της Επιτροπής Pegasus που διερευνούσε το Pegasus και ταυτόχρονα υπέστην παραβίαση από το Pegasus», λέει, «ήταν κάτι πραγματικά υπερβολικά απερίσκεπτο».
«Η χρήση λογισμικού υποκλοπής όχι μόνο παραβιάζει τα θεμελιώδη δικαιώματα των ενδιαφερόμενων ατόμων, αλλά, στην περίπτωση αυτή, απειλεί επίσης την ασφάλεια και την ακεραιότητα του κοινοβουλευτικού έργου και του Ευρωπαϊκού Κοινοβουλίου στο σύνολό του».
Το Pegasus, το οποίο ανακαλύφθηκε για πρώτη φορά από το Citizen Lab το 2016, εκμεταλλεύεται μια συνεχώς εξελισσόμενη σειρά ευπαθειών σε λειτουργικά συστήματα κινητών συσκευών για να μολύνει συσκευές τόσο iOS όσο και Android με κακόβουλο λογισμικό, το οποίο μπορεί να υποκλέψει ήχο από μικρόφωνα και κάμερες και να αποκτήσει πρόσβαση σε μηνύματα, στοιχεία επαφών, λεπτομέρειες περιήγησης στο διαδίκτυο, φωτογραφίες ή άλλες προσωπικές πληροφορίες του στόχου.
Η αποκάλυψη ότι η συσκευή του Κουλογλού αποτέλεσε στόχο, όχι μία, αλλά πολλές φορές, του λογισμικού υποκλοπής Pegasus, που δημιουργήθηκε από την ισραηλινή εταιρεία NSO Group, δημοσιεύθηκε από το Citizen Lab του Πανεπιστημίου του Τορόντο. Η έκθεση, η οποία ενδέχεται να προκαλέσει σοκ στους πολιτικούς κύκλους της Ευρώπης, αναφέρει ότι είναι η πρώτη φορά που ένα μέλος της Επιτροπής PEGA έχει ταυτοποιηθεί ως θύμα του λογισμικού υποκλοπής Pegasus ενώ εργαζόταν στο πλαίσιο της ομάδας. Οι ερευνητές αναφέρουν ότι δεν διαθέτουν αδιάσειστα στοιχεία σχετικά με το ποια κυβέρνηση ή οντότητα βρισκόταν πίσω από τις επιθέσεις κατά της συσκευής του Κούλογλου, αλλά επισημαίνουν ότι όποιος διέπραξε τις επιθέσεις θα μπορούσε ενδεχομένως να έχει αποκτήσει πρόσβαση σε εσωτερικές πληροφορίες σχετικά με τις δραστηριότητες και τα πορίσματα της επιτροπής, παραβιάζοντας ενδεχομένως τις απαιτήσεις εμπιστευτικότητας του Ευρωπαϊκού Κοινοβουλίου και την ιδιωτική ζωή των πολιτών.
Ο John Scott-Railton, ανώτερος ερευνητής του Citizen Lab, τονίζει ότι, αν και η επίθεση έλαβε χώρα πριν από μερικά χρόνια, η ειρωνεία του περιστατικού υπογραμμίζει πόσο απροκάλυπτη έχει γίνει η χρήση λογισμικού κατασκοπείας στην ΕΕ και πέραν αυτής.
Η NSO, η εταιρεία που ανέπτυξε το Pegasus, δεν απάντησε στα αιτήματα του WIRED για σχόλια σχετικά με τα ευρήματα. Η NSO ιδρύθηκε στο Ισραήλ και εξακολουθεί να έχει την έδρα της εκεί, αλλά επενδυτές με έδρα τις Ηνωμένες Πολιτείες απέκτησαν το πλειοψηφικό πακέτο μετοχών της εταιρείας το 2025.
Η ευρωπαϊκή έρευνα σχετικά με τη χρήση του Pegasus και άλλου λογισμικού υποκλοπής το 2022 προκλήθηκε σε μεγάλο βαθμό από το «Pegasus Project», το οποίο συνίστατο σε έρευνα και δημοσιογραφική κάλυψη από περισσότερα από δώδεκα μέσα ενημέρωσης και μη κυβερνητικές οργανώσεις σχετικά με μια τεράστια διαρροή από την NSO Group. Τα δεδομένα έδειξαν την κλίμακα και το μεγάλο εύρος της χρήσης του Pegasus σε όλο τον κόσμο, με τουλάχιστον 180 δημοσιογράφους να συγκαταλέγονται μεταξύ αυτών που, σύμφωνα με αναφορές, στοχοποιήθηκαν από το λογισμικό υποκλοπής. Η NSO Group αμφισβήτησε τα ευρήματα. Περίπου την ίδια περίοδο, η Ελλάδα συγκλονίστηκε επίσης από ένα ξεχωριστό σκάνδαλο κατασκοπευτικού λογισμικού, γνωστό τοπικά ως «Watergate της Ελλάδας», όπου δεκάδες διακεκριμένοι δημοσιογράφοι και κυβερνητικοί και στρατιωτικοί αξιωματούχοι αποτέλεσαν στόχο του κατασκοπευτικού λογισμικού Predator που δημιουργήθηκε από την Intellexa.
Οι ερευνητές επισήμαναν τότε ότι το Πρόγραμμα «Pegasus» κατέδειξε την ανάγκη για συνεργασία μεταξύ του δημόσιου και του ιδιωτικού τομέα, καθώς και για συντονισμένες πολιτικές προσπάθειες, προκειμένου να αντιμετωπιστεί ολοκληρωτικά η κατάχρηση λογισμικού υποκλοπής. Πολλοί κατέληξαν στο συμπέρασμα ότι οι τεχνολογικές προστασίες από μόνες τους δεν αρκούν για την αντιμετώπιση του ζητήματος.
«Θύμωσα γιατί συνειδητοποιείς ότι η ιδιωτική σου ζωή —συμπεριλαμβανομένων των μηνυμάτων όχι μόνο με πολιτικούς και φίλους, αλλά και της προσωπικής σου ζωής με συγγενείς, παιδιά, συζύγους κ.λπ.— έχει τεθεί υπό παρακολούθηση από κάποιον».
Αυτό αποδεικνύεται και από την έκθεση του Citizen Lab σχετικά με τις στοχοποιήσεις στο πλαίσιο της Επιτροπής PEGA. «Η χρήση λογισμικού υποκλοπής όχι μόνο παραβιάζει τα θεμελιώδη δικαιώματα των ενδιαφερόμενων ατόμων, αλλά, στην περίπτωση αυτή, απειλεί επίσης την ασφάλεια και την ακεραιότητα του κοινοβουλευτικού έργου και του Ευρωπαϊκού Κοινοβουλίου στο σύνολό του», δήλωσε στο WIRED η ευρωβουλευτής Saskia Bricmont, μέλος της Επιτροπής PEGA. «Πρόκειται για άμεση επίθεση κατά του κράτους δικαίου.»
Η έρευνα δεν προχωρά στο να κατονομάσει κάποια κυβέρνηση που ενδεχομένως να χρησιμοποίησε το Pegasus εναντίον του Κούλογλου, επισημαίνοντας ειδικότερα ότι δεν εντόπισε καμία ένδειξη εμπλοκής της ελληνικής κυβέρνησης. Ωστόσο, το Citizen Lab αναφέρει ότι εντόπισε ομοιότητες μεταξύ των επιθέσεων στο κινητό του Κούλογλου και της χρήσης του Pegasus εναντίον επτά δημοσιογράφων και ακτιβιστών που μιλούν ρωσικά και λευκορωσικά, κατά την περίοδο από τον Αύγουστο του 2020 έως τον Ιανουάριο του 2023.
«Δεν στόχευσαν μόνο έναν ευρωβουλευτή, αλλά κατασκόπευσαν και την ίδια την έρευνα για την κατάχρηση λογισμικού υποκλοπής. Αυτό δείχνει πόσο παράλογη είναι η όλη κατάσταση», δηλώνει στο WIRED η Hannah Neumann, ευρωβουλευτής των Πρασίνων που συμμετείχε στην επιτροπή για το λογισμικό υποκλοπής.
Ένας εκπρόσωπος του Ευρωπαϊκού Κοινοβουλίου δεν σχολίασε άμεσα τα ευρήματα όταν ρωτήθηκε σχετικά από το WIRED, αλλά ανέφερε ότι διαθέτει ένα «σύστημα ελέγχου λογισμικού υποκλοπής» το οποίο είναι διαθέσιμο σε όλους τους ευρωβουλευτές και ότι πρόσφατα υιοθέτησε μέτρα για την επέκταση των μέτρων προστασίας του.
Το κινητό του Κούλογλου μολύνθηκε για πρώτη φορά ενώ βρισκόταν τυχαία στο νοσοκομείο στις 21 Οκτωβρίου 2022, σύμφωνα με τα ευρήματα του Citizen Lab. Ενώ ανάρρωνε από μια προγραμματισμένη χειρουργική επέμβαση, δέχτηκε την επίσκεψη του Έλληνα ερευνητικού δημοσιογράφου Θανάση Κουκάκη, ο οποίος είχε προηγουμένως πέσει θύμα εισβολής μέσω του λογισμικού υποκλοπής Predator. Την επόμενη εβδομάδα, η Επιτροπή PEGA πραγματοποίησε αρκετές ακροάσεις σχετικά με τον αντίκτυπο του λογισμικού κατασκοπείας και τον τρόπο με τον οποίο αυτό θα μπορούσε να παραβιάζει τα ανθρώπινα δικαιώματα. Μέλη της επιτροπής, μεταξύ των οποίων και ο Κούλογλου, επισκέφθηκαν στη συνέχεια την Κύπρο και την Ελλάδα στο πλαίσιο των ερευνών της.
Στις 6 και 7 Μαρτίου 2023, σύμφωνα με τα ευρήματα, το τηλέφωνο του Κούλογλου μολύνθηκε ξανά με το λογισμικό υποκλοπής Pegasus. Η Neumann, η οποία συμμετείχε επίσης στην έρευνα, αναφέρει ότι περίπου την περίοδο της πρώτης παραβίασης του τηλεφώνου του Κούλογλου, η επιτροπή ετοιμαζόταν για «κρίσιμες ακροάσεις», συμπεριλαμβανομένης της ανάκρισης εταιρειών που δραστηριοποιούνται στον κλάδο του λογισμικού υποκλοπής.
Την εποχή του περιστατικού του 2023, αναφέρει η Neumann, η ομάδα ολοκλήρωνε και διεξήγαγε διαπραγματεύσεις σχετικά με τα ευρήματά της. «Αν εξετάσουμε τις ημερομηνίες, είναι αρκετά προφανές ότι κάποιος δεν τον κατασκόπευε απλώς τυχαία, αλλά είχε στοχεύσει συγκεκριμένα το έργο της επιτροπής», λέει η Neumann.
«Θύμωσα γιατί συνειδητοποιείς ότι η ιδιωτική σου ζωή —συμπεριλαμβανομένων των μηνυμάτων όχι μόνο με πολιτικούς και φίλους, αλλά και της προσωπικής σου ζωής με συγγενείς, παιδιά, συζύγους κ.λπ.— έχει τεθεί υπό παρακολούθηση από κάποιον», λέει ο Κούλογλου. «Δεν είναι μόνο θέμα ιδιωτικότητας, είναι επίσης θέμα δικαιοσύνης, δημοκρατίας και καταπολέμησης της διαφθοράς».
Το Citizen Lab διαπίστωσε, στο πλαίσιο της εγκληματολογικής του ανάλυσης, ότι το κινητό του Κούλογλου έλαβε τρεις ειδοποιήσεις από την Apple, τον Μάρτιο και τον Αύγουστο του 2023 και τον Απρίλιο του 2024, που τον προειδοποιούσαν ότι πιθανότατα ήταν στόχος λογισμικού υποκλοπής. Αυτές οι ειδοποιήσεις δεν αποστέλλονται σε πραγματικό χρόνο και ο Κούλογλου λέει ότι δεν θυμάται να τις έχει δει.
Ο Κούλογλου και άλλοι ευρωβουλευτές δηλώνουν στο WIRED ότι ανησυχούν για το ενδεχόμενο να έχουν στοχοποιηθεί και άλλα μέλη της επιτροπής και ότι οι συστάσεις της ομάδας, συμπεριλαμβανομένης της δημιουργίας ενός τεχνολογικού εργαστηρίου με έδρα την ΕΕ, που επικεντρώνεται στην εγκληματολογική ανάλυση συσκευών, καθώς και μιας ειδικής ομάδας για το λογισμικό υποκλοπής εν όψει των εκλογών, δεν έχουν υιοθετηθεί χρόνια μετά την ολοκλήρωση της έκθεσης της επιτροπής.
«Στην Ευρώπη υπάρχει ένα βουνό καταχρήσεων λογισμικού υποκλοπής, και δεν έχει γίνει τίποτα – είναι ντροπή για τα ευρωπαϊκά θεσμικά όργανα», λέει ο Scott-Railton του Citizen Lab. «Αυτό αφήνει τους Ευρωπαίους απροστάτευτους, ενώ η τεχνητή νοημοσύνη υπόσχεται να εντείνει δραματικά την απειλή του λογισμικού υποκλοπής που χρησιμοποιείται για εμπορικούς σκοπούς, μειώνοντας το κόστος και τα εμπόδια εισόδου στην αγορά.»
Σημειώνει, επίσης, ότι ορισμένες χώρες, συμπεριλαμβανομένων των Ηνωμένων Πολιτειών, έχουν σημειώσει πρόοδο στην καταπολέμηση της χρήσης λογισμικού υποκλοπής μέσω κυρώσεων, απαγορεύσεων έκδοσης βίζας, εκτελεστικών διαταγμάτων και άλλων αποτρεπτικών μέτρων.
«Δεν υπάρχει έλλειψη συνειδητοποίησης των προβλημάτων που συνεπάγεται το λογισμικό κατασκοπείας που διατίθεται από μισθοφόρους», λέει η Neumann. «Γι’ αυτό ακριβώς συνέταξε ολόκληρη την έκθεσή της η Επιτροπή Pegasus. Δεν υπάρχει έλλειψη συστάσεων για το πώς να διορθωθεί το πρόβλημα. Είναι απλώς θέμα του: μπορείτε, παρακαλώ, να το κάνετε τώρα;»
Το άρθρο δημοσιεύθηκε αρχικά στο WIRED US και μεταφράστηκε από τα αγγλικά.
