O spyware Pegasus foi usado para hackear o telefone de Stelios Kouloglou, um ex-eurodeputado grego que integrava a comissão PEGA, criada especificamente para investigar abusos do Pegasus e de ferramentas de vigilância semelhantes. A Citizen Lab confirmou o caso em 2 de julho de 2026.
A análise forense do iPhone de Kouloglou encontrou infecções em outubro de 2022 e novamente em março de 2023, enquanto ele integrava ativamente a comissão encarregada de expor exatamente esse tipo de abuso de spyware na UE.
Quem é Stelios Kouloglou e o que é a PEGA?
Kouloglou, jornalista investigativo grego que se tornou político, foi membro suplente da comissão PEGA do Parlamento Europeu entre março de 2022 e julho de 2023. A PEGA foi criada para investigar como governos da UE abusaram do Pegasus e de softwares equivalentes, produzindo minutas de relatórios sobre supostos abusos no Chipre, na Grécia, na Hungria, na Polônia e na Espanha. O próprio Kouloglou solicitou o exame forense após ficar desconfiado, e a Citizen Lab publicou suas conclusões como o Relatório 194.
Como o hack aconteceu
A primeira infecção, em 21 de outubro de 2022, usou o PWNYOURHOME, uma cadeia de exploits zero-click que explora uma vulnerabilidade no software de casa inteligente da Apple - Kouloglou não precisou clicar, baixar ou fazer nada. Uma segunda infecção ocorreu no início de março de 2023. Segundo a Citizen Lab, as invasões podem ter exposto documentos confidenciais da comissão e deliberações internas, além de mensagens e fotos pessoais de Kouloglou.
- Alvo: Stelios Kouloglou, ex-eurodeputado e membro da comissão PEGA.
- Spyware: Pegasus, da NSO Group, entregue via exploit zero-click PWNYOURHOME.
- Infecções: 21 de outubro de 2022 e 6-7 de março de 2023.
- Descoberta: análise forense da Citizen Lab, solicitada pelo próprio Kouloglou, publicada em julho de 2026.
Uma pista que leva a jornalistas russos e bielorrussos
A Citizen Lab não atribuiu o ataque a um governo específico e afirma não haver provas de envolvimento do governo grego. Mas os pesquisadores encontraram uma sobreposição técnica: o mesmo endereço de e-mail vinculado ao HomeKit usado na primeira infecção de Kouloglou também apareceu em uma campanha Pegasus já documentada, voltada a jornalistas e ativistas russos e bielorrussos exilados em outras partes da Europa. Isso aponta para um único cliente do Pegasus com licenças para operar em várias jurisdições europeias, em vez de uma operação grega isolada.
Reação da UE e novos pedidos por limites
Kouloglou chamou a invasão de "irresponsável", dizendo à imprensa que ela expôs não apenas trocas profissionais com ministros, mas também momentos privados com sua família. Um eurodeputado em exercício descreveu o hack como "um ataque direto ao Estado de Direito" e pressionou a Comissão Europeia a impor limites rígidos ao uso de spyware nos estados-membros. A Comissão não respondeu aos pedidos de comentário da imprensa.
Casos como este são um lembrete de que nem mesmo parlamentares que investigam abusos de vigilância estão isentos dela - e que ferramentas do dia a dia como uma VPN, embora não consigam impedir um exploit zero-click, continuam sendo uma das poucas camadas ao alcance de jornalistas e ativistas comuns para dificultar o rastreamento de rede pelos mesmos operadores.
