Político que investigaba abusos de spyware fue espiado con Pegasus

Investigadores en seguridad confirmaron que Stelios Kouloglou, político y periodista griego, sufrió un hackeo en su teléfono mediante el spyware Pegasus mientras formaba parte de un comité europeo que indagaba los abusos de esta herramienta de vigilancia. Este hecho ha reavivado la polémica sobre el uso indebido de spyware por parte de gobiernos para espiar a sus críticos.

El grupo de investigadores The Citizen Lab, perteneciente a la unidad de derechos digitales de la Universidad de Toronto, detalló que el hackeo a Kouloglou durante 2022 y 2023 es la primera vez que un miembro del comité PEGA del Parlamento Europeo, encargado de investigar ataques con spyware en gobiernos europeos, es identificado públicamente como víctima de este tipo de espionaje.

En una llamada telefónica con TechCrunch, Kouloglou calificó la intrusión en su teléfono como “imprudente”. Un legislador europeo en funciones describió el ataque como un “ataque directo al Estado de derecho” y exigió a la Comisión Europea que imponga límites estrictos al uso de spyware en los 27 países miembros.

Aunque los ataques con spyware a legisladores son poco comunes, el hecho de que un investigador del comité haya sido objetivo del mismo software que investigaba indica un interés intenso en las actividades internas del comité antes de la publicación de un esperado informe con sus conclusiones. Estas intrusiones plantean interrogantes sobre el uso gubernamental de spyware, supuestamente para combatir delitos graves, pero que termina espiando a periodistas, legisladores y críticos.

Citizen Lab no atribuyó el hackeo a ningún país en particular, pero señaló que el cliente gubernamental empleó la misma dirección de correo electrónico cargada con Pegasus que se utilizó en campañas previas para hackear teléfonos de periodistas en Europa. La identidad de este cliente es desconocida, pero la reutilización del mismo correo sugiere que contaba con la autorización del grupo NSO para usar Pegasus en múltiples países europeos.

La Comisión Europea no respondió a la solicitud de comentarios de TechCrunch, y NSO Group tampoco se pronunció sobre el informe de Citizen Lab antes de su publicación.

Según el informe publicado el viernes por Citizen Lab, Kouloglou fue hackeado en octubre de 2022 y al menos en dos ocasiones en marzo de 2023 mediante un exploit que aprovechaba una vulnerabilidad en el software del iPhone de Apple. Esta falla ya había sido corregida, pero Kouloglou no había instalado aún la actualización. El exploit era un “bug de cero clic”, lo que significa que el spyware accedió y robó datos sin que el usuario realizara ninguna acción.

La vulnerabilidad explotada afectaba el software de hogar inteligente de Apple usado en los iPhones, permitiendo al spyware extraer datos privados como mensajes de texto, correspondencia, ubicación y fotos sin conocimiento del propietario.

El hackeo de octubre de 2022 coincidió con intensas discusiones por correo electrónico y mensajes de texto durante octubre y noviembre de ese año, justo antes de la entrega de un primer borrador que documentaba abusos de spyware en países como Chipre, Grecia, Hungría, Polonia y España.

Además, el ataque ocurrió cuando Kouloglou estaba hospitalizado por una cirugía programada, lo que podría haber permitido a los operadores del spyware escuchar audios ambientales relacionados con su atención médica o conversaciones con visitantes.

Meses después, el 6 y 7 de marzo, Citizen Lab informó que el teléfono de Kouloglou fue nuevamente hackeado por el mismo operador de Pegasus mientras viajaba de Atenas a Bruselas, en medio de audiencias del comité y meses antes de que se finalizara y adoptara el borrador del informe.

En la conversación con TechCrunch, Kouloglou expresó que desconoce la razón específica de su selección como objetivo, pero cree que se debe a su labor en el comité del Parlamento Europeo que investiga los abusos de Pegasus.

Manifestó su indignación al enterarse del hackeo: “Te das cuenta de que toda tu información personal fue tomada — no solo los intercambios profesionales o mensajes con ministros — sino también las cosas muy privadas, como los momentos felices y tristes”.

Kouloglou anunció que planea demandar a NSO Group, la empresa fabricante del spyware con sede en Israel. NSO está mayormente prohibida en Estados Unidos tras una orden ejecutiva del gobierno Biden que vetó el uso gubernamental de spyware que pueda violar derechos humanos.

El año pasado, NSO confirmó que un grupo inversionista estadounidense no identificado inyectó decenas de millones de dólares en la compañía, probablemente para rehabilitar la imagen de la empresa, dañada por su vinculación con abusos a derechos humanos.

Finalmente, Kouloglou afirmó que decidió hacer pública su experiencia “por la democracia, los derechos humanos y la lucha contra la corrupción”. “La corrupción nos afecta a todos”, concluyó.