Investigadores de seguridad han confirmado que el teléfono de un político europeo fue pirateado con el software espía Pegasus mientras formaba parte de un comité de investigación que investigaba el uso indebido de la notoria herramienta de vigilancia. Esto reavivó una nueva controversia sobre el uso indebido del software espía por parte del gobierno para recopilar información sobre sus críticos.
Investigadores de la unidad de derechos digitales de la Universidad de Toronto, The Citizen Lab, dicen que la piratería telefónica confirmada del periodista y ex político griego Stelios Kouloglou durante 2022 y 2023 marca la primera vez que un miembro del comité PEGA del Parlamento Europeo, encargado de investigar los ataques de software espía telefónico por parte de gobiernos europeos, ha sido identificado públicamente como víctima de software espía.
Kouloglou le dijo a TechCrunch en una llamada telefónica que el compromiso deliberado de su teléfono fue “imprudente”. Un legislador europeo describió el hackeo telefónico de Kouloglou como un “ataque directo al estado de derecho” y pidió a la Comisión Europea que tome medidas concretas implementando límites estrictos al uso de software espía en los 27 estados miembros del bloque.
Si bien los ataques de software espía a legisladores son raros, el momento y el objetivo por parte de los investigadores del comité del software espía que están investigando sugiere un fuerte enfoque en el funcionamiento interno del comité antes de un informe ampliamente esperado que detalle los hallazgos. El hackeo abre nuevas preguntas sobre cómo los gobiernos utilizan software espía que parece necesario para identificar delitos graves, pero que luego es descubierto espiando las comunicaciones de periodistas, legisladores y críticos.
Los investigadores de Citizen Lab no vincularon el pirateo telefónico con un país específico, pero dijeron que los clientes gubernamentales utilizaron las mismas direcciones de correo electrónico que Pegasus utilizó en campañas anteriores que piratearon los teléfonos de periodistas en toda Europa. Se desconoce la identidad del cliente, pero la reutilización de la dirección de correo electrónico del mismo atacante implica que el cliente tenía la autorización del Grupo NSO para utilizar el software espía Pegasus para espiar teléfonos en varios países de Europa.
Un portavoz de la Comisión Europea no respondió a la solicitud de comentarios de TechCrunch. NSO Group tampoco respondió a una solicitud de comentarios sobre el informe de Citizen Lab antes de su publicación.
En el el informe salió el viernesCitizen Lab dijo que Kouloglou fue pirateado en octubre de 2022 y al menos dos veces durante marzo de 2023 utilizando exploits que comprometieron vulnerabilidades de seguridad en el software del iPhone de Apple. Esta vulnerabilidad ha sido parcheada pero la solución aún no está instalada en el teléfono de Kouloglou. El exploit fue un error de “clic cero”, lo que significa que el software espía irrumpió y robó sus datos sin requerir ninguna interacción por su parte.
El error explota una debilidad previamente descubierta en el software de hogar inteligente de Apple utilizado en los iPhone. Esto permitió que el software espía recuperara datos personales del teléfono de Kouloglou sin su conocimiento, como mensajes de texto y otra correspondencia, datos de ubicación y fotografías.
El momento del ataque en octubre de 2022 coincidió con intensas discusiones por correo electrónico y mensajes de texto durante octubre y noviembre de 2022, antes de la entrega del primer borrador que describe las infracciones de software espía centradas en Chipre, Grecia, Hungría, Polonia y España.
El ataque también ocurrió justo cuando Kouloglou estaba en el hospital para una cirugía previamente programada, lo que pudo haber permitido a los operadores de software espía escuchar audio ambiental sobre su atención médica u otras conversaciones que estaba teniendo con los visitantes en ese momento.
Meses después, el 6 y 7 de marzo, Citizen Lab dijo que el teléfono de Kouloglou fue pirateado nuevamente por el mismo operador de Pegasus mientras Kouloglou viajaba de Atenas a Bruselas, durante el período de audiencia del comité y meses antes de que el comité finalizara y adoptara su borrador de informe escrito.
En una llamada telefónica, Kouloglou le dijo a TechCrunch que no sabe por qué fue atacado específicamente, pero cree que se debió a su trabajo en un comité del Parlamento Europeo que investiga la violación de Pegasus.
Describió su enojo cuando descubrió que su teléfono había sido pirateado.
“Te das cuenta de que (fueron tomados) todos tus datos personales, no todos los intercambios profesionales o mensajes con ministros, sino también cosas muy personales, como momentos felices y momentos tristes”, dijo a TechCrunch.
Kouloglou dijo que planea demandar a NSO Group, un fabricante de software espía con sede en Israel. El uso de NSO sigue estando prohibido en gran medida en los Estados Unidos luego de una orden ejecutiva de la era Biden que prohíbe el uso gubernamental de software espía que podría violar los derechos humanos.
El año pasado, el fabricante de software espía confirmó que un grupo de inversión estadounidense anónimo canalizó decenas de millones de dólares hacia la empresa, probablemente como parte de un esfuerzo por rehabilitar la asediada marca NSO por permitir abusos contra los derechos humanos.
Kouloglou dijo que haría pública su historia “por la democracia, los derechos humanos y la lucha contra la corrupción”.
“La corrupción afecta a todos”, afirmó.
Cuando compra a través de enlaces en nuestros artículos, es posible que ganemos una pequeña comisión. Esto no afecta nuestra independencia editorial.
