Een Griekse oud-Europarlementariër is gehackt geweest met spyware toen hij in opdracht van de Europese Unie een onderzoek uitvoerde naar misbruik van spyware door overheden.
Voormalig Europarlementariër Stelios Koulouglou werd in 2022 en 2023 minstens twee keer geviseerd door spyware op zijn smartphone. Dat blijkt uit een onderzoek door de activistische Canadese onderzoeksinstelling Citizen Lab. De timing van de spionageaanvallen was niet toevallig, want Koulouglou voerde destijds onderzoek uit naar het gebruik van spyware door overheden.
Koulouglou maakte van maart 2022 tot juli 2023 deel uit van het PEGA-comité van het Europese Parlement. Een eerste infectie (oktober 2022) vond plaats vlak voor de vrijgave van de eerste bevindingen uit het onderzoek. In dat rapport werden de overheden van Polen, Hongarije, Cyprus, Griekenland en Spanje beschuldigd van misbruik van spyware. Op het moment van de tweede spionagepoging in maart 2023 was Koulouglou in Brussel.
Pegasus
De Griekse ex-Europarlementariër liet dit voorjaar zijn smartphone onderzoeken door Citizen Lab. Volgens het onderzoeksbureau gaat het om Pegasus, een beruchte spyware die ontwikkeld en verkocht word door het Israëlische bedrijf NSO Group. De spyware is bijzonder effectief: het slachtoffer hoeft niets te doen om het virus te installeren op zijn/haar apparaat. Citizen Lab merkt op dat ingebouwde waarschuwingen in Android en iOS vaak ook pas weken tot zelfs maanden na installatie het slachtoffer bereiken.
Hoewel spionage voornamelijk met dictaroriale regimes wordt geassocieerd, is het al langer bekend dat ook Europese overheden op de klantenlijst van NSO Group staan. Het Israëlische bedrijf verkoopt licenties aan politie- en inlichtingendiensten. Officieel mag de spyware alleen gebruikt worden in de strijd tegen terrorisme en criminaliteit, maar er zijn weinig tot geen beperkingen om ook journalisten en activisten te viseren. Normaal gezien zijn de licenties beperkt tot één land.
Dat Koulouglou zowel in zijn thuisland Griekenland als in Brussel gehackt werd, wijst volgens Citizen Lab erop dat de verantwoordelijke achter deze aanval licenties voor meerdere landen in bezit heeft. Het onderzoek wijst geen schuldige aan, maar Citizen Lab legt een link met een Pegasus-campagne uit 2024 die Russische en Wit-Russische journalisten viseerde.
EU doet te weinig
De Nederlandse politica Sophie in ’t Veld (Volt), destijds voorziteer van het PEGA-comité, vindt dat de Europese Unie strenger moet optreden tegen Pegasus en andere spyware. Buiten de oprichting van een ‘Tech Lab’ om spyware te bestrijden, is er volgens haar te weinig gedaan met het rapport. Pegasus is bijvoorbeeld niet verboden in de EU. Dat is het officieel wel op WhatsApp na een Amerikaanse rechtszaak, al blijft de spyware opduiken in de berichtendienst.
“Regeringen vinden het eigenlijk wel prettig om deze software zonder al te veel beperkingen te kunnen gebruiken. Als regeringen allemaal spyware kunnen gebruiken tegen hun tegenstanders en critici, dan werkt je democratie niet meer”, haalt in ’t Veld uit aan NOS.