Pesquisadores de segurança confirmaram que um parlamentar europeu teve seu celular invadido pelo spyware Pegasus enquanto atuava em uma comissão investigativa que apurava abusos do controverso programa de vigilância. O caso reacendeu a polêmica sobre governos que utilizam spyware para coletar informações sobre seus críticos.
O Laboratório Cidadão, grupo de pesquisa em direitos digitais da Universidade de Toronto, revelou que o jornalista e ex-deputado europeu Stelios Kouloglou foi alvo de invasão telefônica em 2022 e 2023. Este é o primeiro caso publicly identificado de um membro do comitê PEGA do Parlamento Europeu, responsável por investigar ataques de spyware perpetrados por governos europeus, tornando-se vítima de tal tecnologia.
Em entrevista, Kouloglou classificou a invasão deliberada de seu telefone como "irresponsável". Um parlamentar europeu em exercício descreveu o caso como "ataque direto ao Estado de Direito" e pediu que a Comissão Europeia tome medidas concretas, impondo restrições severas ao uso de spyware nos 27 países membros do bloco.
Embora ataques a legisladores sejam raros, o momento e a escolha do alvo — um investigador do comitê que justamente apurava o spyware em questão — sugerem intenso interesse nos trabalhos da comissão, às vésperas da divulgação de um relatório aguardado com grande expectativa.
Os pesquisadores do Laboratório Cidadão não atribuíram a invasão a um país específico, porém destacaram que o cliente governamental utilizou o mesmo endereço de e-mail carregado com Pegasus que fora empregado em campanhas anteriores contra jornalistas em toda a Europa. A reutilização desse endereço indica que o cliente teve autorização da empresa israelense NSO para espionar telephones em múltiplos países europeus.
A Comissão Europeia não respondeu aos pedidos de comentário. A NSO Group também não se manifestou sobre o relatório do Laboratório Cidadão antes da publicação.
Segundo o relatório divulgado na sexta-feira, Kouloglou foi invadido em outubro de 2022 e pelo menos duas vezes em março de 2023, utilizando uma exploração que explorava uma falha de segurança no sistema operacional do iPhone, da Apple. A vulnerabilidade já havia sido corrigida, porém a correção ainda não havia sido instalada no telefone de Kouloglou.
O exploit tratava-se de um "zero-click", ou seja, um ataque que não requer qualquer interação do usuário para invadir o dispositivo e roubar dados. A falha explorava uma vulnerabilidade previamente descoberta no software de casa inteligente da Apple usado em iPhones. O spyware conseguiu acessar dados privados do telefone de Kouloglou sem seu conhecimento, incluindo mensagens de texto, outras correspondências, dados de localização e fotografias.
A invasão de outubro de 2022 coincidiu com intensas discussões por e-mail e mensagens de texto ao longo de outubro e novembro daquele ano, antes da entrega de um primeiro rascunho sobre abusos de spyware com foco em Chipre, Grécia, Hungria, Polônia e Espanha.
O ataque também ocorreu exatamente no período em que Kouloglou estava hospitalizado para uma cirurgia previamente agendada, o que pode ter permitido que os operadores do spyware ouvissem conversas ambientes sobre sua saúde ou outras discussões com visitantes.
Meses depois, em 6 e 7 de março, o Laboratório Cidadão registrou nova invasão ao telefone de Kouloglou pelo mesmo operador Pegasus, enquanto o parlamentarviajava de Atenas a Bruxelas, durante um período de audiências do comitê e meses antes da finalização e aprovação do relatório escrito.
Em entrevista, Kouloglou afirmou não saber o motivo específico de ter sido alvo, porém acredita que se deveu ao seu trabalho na comissão do Parlamento Europeu que investigava abusos do Pegasus. Ele expressou indignação ao descobrir que seu telefone havia sido invadido.
"Você percebe que todos os seus dados pessoais foram roubados — não apenas as trocas profissionais ou mensagens com ministros — mas também coisas muito privadas, como momentos felizes e momentos tristes", declarou.
Kouloglou anunciou que planeja processar a NSO Group, empresa fabricante de spyware com sede em Israel. A NSO permanece amplamente proibida nos Estados Unidos após uma ordem executiva da era Biden que proibiu o uso governamental de spyware que possa violar direitos humanos.
No ano passado, a fabricante de spyware confirmou que um grupo de investimento americano não identificado injetou dezenas de milhões de dólares na empresa, provavelmente como parte de um esforço para reabilitar a marca da NSO, associada a abusos de direitos humanos.
Kouloglou decidiu tornar pública sua história "em prol da democracia, dos direitos humanos e da luta contra a corrupção". "A corrupção diz respeito a todos", afirmou.
Fonte: TechCrunch
