Pegasus infiltrou-se no próprio comité que o investigava em Bruxelas

Um eurodeputado a investigar o Pegasus é atacado pelo Pegasus. Não é argumento de série, é a conclusão de uma análise forense do Citizen Lab, da Universidade de Toronto, agora tornada pública. O alvo foi Stelios Kouloglou, político grego e antigo jornalista de investigação, que integrou a comissão especial do Parlamento Europeu sobre spyware, a PEGA. Em pleno trabalho de campo, no outono de 2022, o seu iPhone foi comprometido com o mesmo software de vigilância que estava a escrutinar.

Os investigadores do Citizen Lab falam em múltiplas tentativas de infeção com Pegasus, o spyware da empresa israelita NSO Group. Sem conseguir atribuir com certeza a um governo ou serviço específico, deixam claro o essencial: quem quer que tenha orquestrado o ataque podia ter acedido a informação interna sobre o trabalho da comissão, comunicações sensíveis e rascunhos de conclusões. Em linguagem simples, isto é uma brecha directa na confidencialidade parlamentar da UE.

Para Kouloglou, que saiu do Parlamento em 2024, o choque foi pessoal e político. Primeiro, porque julga conhecer os riscos, vindo do jornalismo de investigação. Depois, porque ser membro da comissão PEGA e, em simultâneo, vítima do spyware que se está a investigar, mostra uma dose de arrogância pouco subtil de quem disparou. Não é vigilância cirúrgica, é mensagem: se até os fiscais podem ser espionados, o recado é que a regra é a impunidade.

O caso encaixa numa narrativa que Bruxelas prefere empurrar para o rodapé: a UE é rápida a legislar, lenta a proteger as suas próprias infraestruturas e representantes. O episódio lembra que, enquanto se discute regulação de IA e dados, continua a faltar músculo operacional em cibersegurança e contra-espionagem, mesmo depois de alertas como o plano para uma Europol mais robusta no crime digital. “É época aberta de spyware sobre os legisladores europeus”, resumiu John Scott-Railton, investigador sénior do Citizen Lab. A frase é dura, mas ajusta-se.

Convém lembrar como chegámos aqui. O escândalo global do Pegasus rebentou com o Pegasus Project em 2021, uma fuga de dados que expôs o uso alargado do spyware contra jornalistas, activistas e figuras políticas. A NSO contestou, mas as listas eram extensas. Em paralelo, a Grécia atravessava o seu próprio “Watergate”, com dezenas de alvos de alto perfil infectados com o Predator, spyware da Intellexa. A PEGA nasceu como resposta europeia a este caldo de abusos. O facto de um dos seus membros ter sido, afinal, mais um alvo mostra o alcance real destes operadores.

O relatório agora divulgado confirma algo que muitos especialistas repetem há anos: defesas técnicas em telemóveis e computadores são necessárias, mas não chegam. Sem controlo político duro sobre a venda e uso de spyware comercial, e sem capacidade de investigação séria em Bruxelas e nas capitais, a UE fica dependente de laboratórios externos para descobrir quem andou a espiar os seus próprios deputados. Para uma união que se quer referência mundial em direitos fundamentais, é um retrato pouco simpático. E não é um bug, é sinal de desenho incompleto da própria arquitectura de segurança europeia.

Fonte: Wired