El hackeo del teléfono de Kouloglou ocurrió en octubre de 2022 y al menos dos veces en marzo de 2023, utilizando una vulnerabilidad de seguridad en el software de iPhone de Apple que ya había sido parcheada pero no instalada en el dispositivo del legislador, según el informe del Citizen Lab. El exploit utilizado fue de tipo "zero-click", lo que significa que el software espía penetró y robó datos sin necesitar ninguna interacción por parte de la víctima.

La vulnerabilidad explotada abusaba de una falla previamente descubierta en el software de hogar inteligente de Apple utilizado en iPhones, permitiendo al spyware extraer datos privados del teléfono de Kouloglou sin su conocimiento, incluyendo mensajes de texto y otra correspondencia, datos de ubicación y fotografías, según los investigadores.

El primer hackeo, el 21 de octubre de 2022, coincidió con un período de intensas discusiones por correo electrónico y mensajes de texto durante octubre y noviembre de 2022, previo a la entrega de un primer borrador que describía abusos de spyware enfocados en Chipre, Grecia, Hungría, Polonia y España, según TechCrunch. El Citizen Lab describió este momento como un "período particularmente intenso de actividad" en las deliberaciones e investigaciones del comité PEGA, incluyendo la redacción del primer informe del comité, según The Guardian.

El hackeo también coincidió exactamente con el momento en que Kouloglou se encontraba hospitalizado para una cirugía programada, lo que pudo haber permitido a los operadores del spyware escuchar audio ambiente discutiendo su atención médica u otras conversaciones que tuvo con visitantes en ese momento, según TechCrunch. Durante su estancia hospitalaria, Kouloglou fue visitado por el periodista de investigación griego Thanasis Koukakis, quien en ese momento trabajaba en historias sobre spyware mercenario en Grecia tras un escándalo conocido como el "Watergate griego", que involucró el espionaje ilegal de más de 80 personas en Grecia, incluyendo políticos, periodistas y oficiales militares, según The Guardian. Koukakis fue una de las víctimas y había testificado previamente sobre su experiencia ante el comité PEGA.

Meses después, el 6 y 7 de marzo de 2023, el teléfono de Kouloglou fue hackeado nuevamente por el mismo operador de Pegasus mientras Kouloglou viajaba de Atenas a Bruselas, durante un período de audiencias del comité y meses antes de que el comité finalizara y adoptara su borrador de informe escrito, según TechCrunch. El Citizen Lab indicó que el hackeo coincidió con discusiones intensivas relacionadas con la redacción final del informe del comité, según The Guardian.

Los investigadores del Citizen Lab no atribuyeron el hackeo del teléfono a un país específico, pero dijeron que el cliente gubernamental utilizó la misma dirección de correo electrónico cargada con Pegasus que se usó en una campaña anterior que hackeó los teléfonos de periodistas en toda Europa, según TechCrunch. La identidad del cliente no se conoce, pero la reutilización de la misma dirección de correo electrónico de ataque implica que el cliente tenía la autorización de NSO Group para usar su software espía Pegasus para espiar teléfonos en múltiples países de Europa.

Los investigadores identificaron un correo electrónico único de Apple ID utilizado en los ataques, lo que sugiere que fueron realizados por el mismo cliente gubernamental, según The Guardian. El cliente también probablemente tenía licencias para operar en Bélgica y Grecia, dijo el Citizen Lab. Los investigadores dijeron que creían que el mismo operador que atacó a Kouloglou también atacó a siete periodistas independientes y activistas de oposición de habla rusa y bielorrusa con sede en Europa, quienes fueron encontrados como objetivos o infectados con el software espía Pegasus, según The Guardian.

En una llamada telefónica con TechCrunch, Kouloglou describió el compromiso deliberado de su teléfono como "imprudente". El exlegislador dijo que no sabía por qué fue específicamente atacado, pero que cree que fue debido a su trabajo en el comité del Parlamento Europeo que investigaba los abusos de Pegasus. Describió su enojo cuando se enteró de que su teléfono había sido hackeado.

"Te das cuenta de que todos tus datos personales [fueron tomados] — no todos los intercambios profesionales o mensajes con ministros — sino también las cosas muy privadas, como los momentos felices y los momentos tristes", dijo a TechCrunch.

"Cuando te das cuenta de que tu vida privada es escrutada por gente muy mala, te enojas", dijo Kouloglou en una entrevista con The Guardian. "Es un gran problema que tiene que ver con la corrupción, la justicia y la democracia".

Kouloglou, quien también es periodista y dejó el parlamento en 2024, fue elegido por primera vez al Parlamento Europeo como miembro del partido Syriza, según The Guardian. Se unió al comité PEGA en marzo de 2022.

El comité PEGA fue establecido en marzo de 2022 después de la publicación del Proyecto Pegasus por The Guardian y un consorcio de medios de comunicación, según The Guardian. El Proyecto Pegasus reveló cómo periodistas, activistas, políticos y otros miembros de la sociedad civil estaban siendo atacados por gobiernos usando Pegasus, que es fabricado por el grupo NSO con sede en Israel y vendido a gobiernos de todo el mundo con el propósito de detener crímenes graves y ataques terroristas. La misión de PEGA en 2022 era investigar el alcance de cómo se estaba utilizando el spyware en contravención de la ley de la Unión Europea.

Kouloglou dijo a TechCrunch que estaba haciendo pública su historia "por la democracia, los derechos humanos y la lucha contra la corrupción". "La corrupción concierne a todos", dijo.

El exlegislador dijo que planea demandar a NSO Group, el fabricante de spyware con sede en Israel, según TechCrunch. NSO permanece en gran medida prohibido de uso en Estados Unidos tras una orden ejecutiva de la era Biden que prohibió el uso gubernamental de spyware que pudiera violar los derechos humanos de las personas.

El año pasado, el fabricante de spyware confirmó que un grupo de inversión estadounidense no identificado canalizó decenas de millones de dólares a la compañía, probablemente como parte de un esfuerzo para rehabilitar la marca asediada de NSO asociada con permitir abusos de derechos humanos, según TechCrunch.

Un legislador europeo en funciones describió el hackeo del teléfono de Kouloglou como un "ataque directo al estado de derecho" y pidió a la Comisión Europea que tome medidas concretas imponiendo límites estrictos al uso de spyware en todo el bloque de 27 estados miembros, según TechCrunch.

John Scott-Railton, investigador senior del Citizen Lab, dijo que las revelaciones en el informe marcaron la primera vez que se sabe que un miembro del comité PEGA ha sido atacado con spyware, según The Guardian. Señaló que las recomendaciones del comité han sido esencialmente ignoradas.

"Este caso es la ironía definitiva de la crisis de spyware de Europa. Alguien en el mismo comité encargado de investigar Pegasus se infecta con él. ¿Y qué ha pasado desde entonces? El parlamento mira hacia otro lado cuando surgen nuevos abusos de spyware europeo", dijo Scott-Railton, según The Guardian.

"Puedo decirte cómo irá el próximo capítulo: más parlamentarios hackeados. De hecho, sospecho que hay miembros votando y asistiendo a reuniones de alto nivel sin idea de que su teléfono se ha convertido en un espía en su bolsillo", agregó.

Si bien los ataques de spyware contra legisladores son raros, el momento y la selección de un investigador del comité mediante el mismo spyware bajo su investigación sugiere un enfoque intenso en el funcionamiento interno del comité antes de un informe ampliamente anticipado que detalla sus hallazgos, según TechCrunch. Los hackeos abren nuevas preguntas sobre cómo los gobiernos usan spyware supuestamente necesario para identificar crímenes graves, pero luego son sorprendidos espiando las comunicaciones de periodistas, legisladores y críticos.

Un portavoz de la Comisión Europea no respondió a la solicitud de comentarios de TechCrunch. NSO Group tampoco respondió a una solicitud de comentarios sobre el informe del Citizen Lab antes de la publicación, según TechCrunch. NSO tampoco respondió a una solicitud de comentarios de The Guardian.