Investigador de spyware, hackeado con Pegasus

Investigadores de seguridad de The Citizen Lab, una unidad de derechos digitales de la Universidad de Toronto, confirmaron que el periodista y ex político griego Stelios Kouloglou fue hackeado con el spyware Pegasus. El hackeo ocurrió mientras Kouloglou formaba parte del comité PEGA del Parlamento Europeo, un órgano legislativo encargado de investigar los abusos del spyware. Esta es la primera vez que un miembro de este comité específico ha sido identificado públicamente como objetivo de la herramienta de vigilancia, fabricada por NSO Group, un fabricante de spyware con sede en Israel.

Según The Citizen Lab, el compromiso del teléfono de Kouloglou involucró un exploit “zero-click” —un error que permite al spyware comprometer un dispositivo sin interacción del usuario—. El exploit aprovechó una vulnerabilidad de seguridad en el software del iPhone de Apple. Los investigadores confirmaron que Kouloglou fue hackeado en octubre de 2022 y al menos dos veces en marzo de 2023, específicamente el 6 y 7 de marzo. Estas fechas coincidieron con intensas discusiones y audiencias del comité, así como con el viaje de Kouloglou de Atenas a Bruselas, apenas unos meses antes de que el comité finalizara su informe preliminar sobre los abusos del spyware en Europa, incluyendo Chipre, Grecia, Hungría, Polonia y España. La identidad del cliente de NSO Group responsable del hackeo sigue siendo desconocida.

Kouloglou describió el compromiso deliberado de su teléfono como temerario. Kouloglou, ex político, declaró: “Te das cuenta de que todos tus datos personales [fueron tomados] —no solo los intercambios profesionales o mensajes con ministros—, sino también las cosas muy privadas, como los momentos felices y los momentos tristes”. Afirmó que planea demandar a NSO Group, enmarcando su decisión como un esfuerzo para apoyar la democracia, los derechos humanos y la lucha contra la corrupción. Mientras tanto, un legislador europeo en funciones calificó el hackeo del teléfono de Kouloglou como un ataque directo al estado de derecho y pidió a la Comisión Europea que tome medidas.

El incidente destaca la lucha continua por regular las herramientas de vigilancia en todo el bloque de 27 estados miembros, donde los críticos argumentan que tales tecnologías violan los derechos humanos de las personas. NSO Group sigue estando mayormente prohibido en Estados Unidos tras una orden ejecutiva dirigida a spyware que podría violar los derechos humanos. Sin embargo, NSO Group reportó que un grupo de inversión estadounidense anónimo probablemente inyectó decenas de millones de dólares en la empresa, una inversión probablemente destinada a rehabilitar la marca del fabricante de spyware.

Por qué importa

El hackeo de un legislador encargado de investigar los abusos del spyware subraya la persistente dificultad de regular las herramientas de vigilancia, incluso cuando se despliegan contra los mismos funcionarios que investigan su uso indebido.