El periodista y expolítico griego Stelios Kouloglou fue hackeado con el spyware Pegasus mientras formaba parte de la comisión PEGA del Parlamento Europeo, encargada de investigar abusos del software de vigilancia por parte de gobiernos europeos, según confirmó Citizen Lab.

La revelación, que se dio a conocer en un informe publicado el viernes por Citizen Lab, reaviva el debate sobre el uso de herramientas de espionaje contra legisladores, periodistas y críticos.

El ataque ocurrió en 2022 y volvió a repetirse en 2023

Citizen Lab señaló que Kouloglou fue hackeado en octubre de 2022 y al menos dos veces durante marzo de 2023 mediante un exploit que comprometió una vulnerabilidad de seguridad en el software del iPhone de Apple.

La falla ya había sido corregida, pero el parche todavía no estaba instalado en el teléfono de Kouloglou. El exploit fue de tipo “zero-click”, es decir, permitió el acceso sin que la víctima interactuara con nada.

De acuerdo con el informe, el software malicioso obtuvo datos privados del teléfono, entre ellos mensajes de texto, otra correspondencia, datos de ubicación y fotos.

La vigilancia coincidió con debates internos y traslados a Bruselas

Citizen Lab indicó que el ataque de octubre de 2022 coincidió con intensas discusiones por correo y mensajes de texto durante octubre y noviembre de ese año, antes de la entrega de un primer borrador sobre abusos de spyware centrado en Chipre, Grecia, Hungría, Polonia y España.

El hackeo también coincidió con un período en el que Kouloglou estaba hospitalizado para una cirugía programada, lo que pudo permitir a los operadores del spyware escuchar audio ambiental o conversaciones con visitantes.

Meses después, el 6 y 7 de marzo de 2023, su teléfono fue atacado otra vez por el mismo operador de Pegasus mientras viajaba de Atenas a Bruselas, en medio de audiencias de la comisión y antes de que se finalizara y adoptara el informe escrito.

Kouloglou dijo que divulgará su caso “por la democracia, los derechos humanos y la lucha contra la corrupción”, y calificó el ataque como “imprudente”.

También afirmó que planea demandar a NSO Group, la empresa israelí creadora de Pegasus, mientras el caso vuelve a poner bajo presión a quienes regulan el uso de spyware en Europa.