Un raport recent publicat de Citizen Lab dezvăluie că Stelios Kouloglou, fost membru al Parlamentului European, a fost infectat în mod repetat cu spyware-ul Pegasus pe dispozitivul său mobil tocmai în perioada în care activa în cadrul comisiei parlamentare responsabile cu investigarea abuzurilor legate de instrumentele comerciale de supraveghere. Cazul ridică întrebări grave privind securitatea demnitarilor europeni și integritatea investigațiilor instituționale. Este una dintre cele mai flagrante ilustrări ale modului în care tehnologiile de supraveghere pot fi întoarse împotriva celor care încearcă să le reglementeze.

Analiza criminalistică efectuată de Citizen Lab pe dispozitivul lui Kouloglou a demonstrat că atacatorii au avut acces potențial la date extrem de sensibile, inclusiv comunicări private, documente de lucru și informații despre activitatea parlamentară. Pegasus, dezvoltat de compania israeliană NSO Group, este un spyware de tip zero-click, ceea ce înseamnă că poate infecta un dispozitiv fără nicio interacțiune din partea victimei, exploatând vulnerabilități necunoscute public din sistemele de operare iOS și Android. Acest nivel de sofisticare tehnică îl plasează în categoria instrumentelor accesibile aproape exclusiv actorilor statali sau entităților cu resurse financiare considerabile.

Contextul politic al atacului este deosebit de îngrijorător. Kouloglou era membru al comisiei PEGA, un organism parlamentar european înființat special pentru a ancheta utilizarea abuzivă a spyware-urilor comerciale în statele membre ale Uniunii Europene, cu referire directă la cazuri documentate din Ungaria, Polonia, Grecia și Spania. Faptul că un investigator al acestor abuzuri a devenit el însuși victimă sugerează că cel puțin un actor statal a urmărit activ activitatea comisiei și a considerat-o suficient de periculoasă pentru a justifica o operațiune de spionaj la acest nivel. Identitatea atacatorilor nu a fost public confirmată până în prezent.

Cazul reconfirmă o tendință documentată de Citizen Lab și alte organizații de cercetare în domeniul securității: jurnaliștii, avocații, activiștii și oficialii publici care activează în zone sensibile din punct de vedere politic reprezintă ținte prioritare pentru operațiunile de supraveghere avansată. Dispozitivele mobile personale rămân veriga slabă a securității operaționale, întrucât acestea combină date profesionale și personale și sunt adesea mai puțin protejate decât infrastructura IT instituțională. Niciun sistem de operare nu oferă o protecție absolută împotriva unor vulnerabilități de tip zero-day exploatate de actori cu resurse semnificative.

Pentru organizațiile și instituțiile din România, acest caz reprezintă un semnal de alarmă concret. Funcționarii publici, parlamentarii, managerii din sectoarele critice și profesioniștii care gestionează informații sensibile trebuie să adopte politici clare de securitate operațională pentru dispozitivele mobile, inclusiv utilizarea unor soluții de detecție a compromiterii, separarea riguroasă între utilizarea profesională și cea personală a dispozitivelor și actualizarea constantă a sistemelor de operare. România, ca stat membru UE implicat în procese legislative și investigative cu miză geopolitică, nu este în afara ariei de interes a actorilor care utilizează instrumente precum Pegasus, iar ignorarea acestei realități reprezintă în sine un risc de securitate.