Citizen Lab confirmó que el eurodiputado griego Stelios Kouloglou fue hackeado con el spyware de NSO Group en 2022 y 2023, mientras integraba el comité del Parlamento Europeo creado específicamente para investigar los abusos de ese mismo software. El ataque fue zero-click: no requirió ninguna interacción de la víctima.
El caso tiene una ironía que lo convierte en un símbolo difícil de ignorar: el político espiado con Pegasus era exactamente quien estaba a cargo de investigar a Pegasus. Investigadores de Citizen Lab, la unidad de derechos digitales de la Universidad de Toronto, confirmaron que el periodista y ex político griego Stelios Kouloglou fue hackeado con el spyware de NSO Group durante 2022 y 2023, mientras integraba el comité PEGA del Parlamento Europeo, creado específicamente para investigar los abusos del software de vigilancia por parte de gobiernos europeos.
El ataque fue técnicamente sofisticado y silencioso. Se trató de un exploit «zero-click»: el spyware ingresó al teléfono de Kouloglou y extrajo sus datos sin que él tuviera que hacer nada, sin abrir un enlace, sin descargar un archivo. La vulnerabilidad aprovechada era una falla en el software de hogar inteligente de Apple para iPhones —ya parcheada por Apple, pero que aún no había sido instalada en el equipo de la víctima—. El exploit permitió acceder a sus mensajes de texto, correspondencia, datos de ubicación y fotos.
El timing de los ataques no parece casualidad. El primer hackeo se produjo en octubre de 2022, exactamente durante el período de intensas discusiones previas a la entrega de un primer borrador del informe del comité, que describía abusos de spyware en Chipre, Grecia, Hungría, Polonia y España. Para agravar el escenario, Kouloglou estaba hospitalizado en ese momento por una cirugía programada, lo que pudo haber permitido a los operadores del spyware acceder a audio ambiental de sus conversaciones. Los ataques de marzo de 2023 coincidieron con su viaje de Atenas a Bruselas, durante un período de audiencias del comité, meses antes de que se finalizara el informe definitivo.
Citizen Lab no atribuyó el hackeo a un país específico, pero señaló que el cliente gubernamental usó la misma dirección de email cargada con Pegasus que había sido utilizada en una campaña previa que hackeó los teléfonos de periodistas en Europa. La reutilización de esa misma dirección implica que el cliente tenía la autorización de NSO Group para usar el spyware contra objetivos en múltiples países de Europa.
Kouloglou describió su reacción al enterarse como una mezcla de enojo y vulnerabilidad: «Te das cuenta de que todos tus datos personales fueron tomados, no solo los intercambios profesionales o los mensajes con ministros, sino también las cosas más privadas, como los momentos felices y los tristes.» Confirmó que planea demandar a NSO Group.
Un eurodiputado en funciones calificó el hackeo como un «ataque directo al Estado de derecho» y pidió a la Comisión Europea que imponga límites estrictos al uso de spyware en los 27 países miembros.
El caso reaviva una pregunta que el informe PEGA nunca terminó de responder: si los propios investigadores parlamentarios son objetivos legítimos del spyware que investigan, ¿qué garantía real tiene cualquier otro ciudadano europeo de estar fuera del alcance de estas herramientas?.
Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. [Conocé nuestro proceso editorial].