A investigação não chega a nomear qualquer governo que possa ter usado o Pegasus contra Kouloglou, observando em explicit que não encontrou nenhuma indicação de envolvimento do governo grego. Mas o Citizen Lab afirma ter encontrado sobreposições entre os ataques ao telefone de Kouloglou e o uso do Pegasus contra sete jornalistas e ativistas de língua russa e bielorrussa entre agosto de 2020 e janeiro de 2023.
“Eles não visaram apenas um eurodeputado, eles espionaram a própria investigação sobre o abuso de adware. Isso mostra todo o absurdo da situação”, disse Hannah Neumann, uma eurodeputada verde que serviu no comitê de adware, à WIRED.
Um porta-voz do Parlamento Europeu não comentou diretamente as conclusões quando questionado sobre elas pela WIRED, mas disse que tem um “sistema de triagem de adware” que está disponível para todos os eurodeputados e que recentemente foi medidas adotadas para expandir suas proteções.
O telefone de Kouloglou foi infectado pela primeira vez enquanto ele estava no hospital em 21 de outubro de 2022, de acordo com as descobertas do Citizen Lab. Enquanto se recuperava de uma cirurgia eletiva, ele foi visitado pelo jornalista investigativo grego Thanasis Koukakis, que já havia sido hackeado com o adware Predator. Na semana seguinte, o Comité PEGA realizou várias audiências sobre o impacto do adware e como este poderia interferir nos direitos humanos. Os membros da comissão, incluindo Kouloglou, visitaram então Chipre e a Grécia como parte das suas investigações.
Nos dias 6 e 7 de março de 2023, de acordo com as descobertas, o telefone de Kouloglou foi infectado novamente com o adware Pegasus. Neumann, que também fez parte da investigação, diz que na época do primeiro comprometimento do telefone de Kouloglou, o comitê estava se encaminhando para “audiências importantes”, incluindo questionamentos de empresas que operavam na indústria de adware.
Na altura do incidente de 2023, diz Neumann, o grupo estava a finalizar e a conduzir negociações sobre as suas conclusões. “Olhando para as datas, é bastante óbvio que alguém não o estava espionando aleatoriamente, mas que realmente visava o trabalho do comitê”, diz Neumann.
“Fiquei zangado porque você percebeu que a sua vida privada, incluindo mensagens não apenas com políticos, amigos, mas a sua vida pessoal com familiares, filhos, esposas, and so on., foi monitorizada por alguém”, diz Kouloglou. “Não se trata apenas de privacidade, trata-se também de justiça, democracia e combate à corrupção.”
O Citizen Lab descobriu, como parte de sua análise forense, que o telefone de Kouloglou recebeu três notificações da Apple, em março e agosto de 2023 e abril de 2024, alertando-o de que ele provavelmente estava sendo alvo de spyware. Estas notificações não são emitidas em tempo actual e Kouloglou diz que não se lembra de as ter visto.
Kouloglou e outros eurodeputados disseram à WIRED que estão preocupados que outros membros do comité também possam ter sido alvo e que o grupo recomendações—incluindo a criação de um laboratório tecnológico baseado na UE centrado na análise de dispositivos forenses e um grupo de trabalho sobre adware para eleições — não foram adoptadas anos depois de a comissão ter concluído o seu relatório.
“A Europa tem uma montanha de abusos de adware e nada aconteceu – é uma vergonha para as instituições europeias”, afirma Scott-Railton, do Citizen Lab. “Isso deixa os europeus desprotegidos, mesmo quando a IA promete turbinar a ameaça do adware mercenário, reduzindo os custos e as barreiras à entrada.”
Ele observa também que alguns países, incluindo os Estados Unidos, fizeram progressos no combate ao uso de adware através de sanções, proibições de vistos, ordens executivas e outros meios de dissuasão.
“Não falta consciência dos problemas que acompanham o adware mercenário”, diz Neumann. “Foi sobre isso que o Comitê Pegasus escreveu todo o relatório. Não faltam recomendações sobre como consertar isso. É apenas uma questão de: você pode fazer isso agora?”
