Pegasus nel cuore dell’Europa: l’eurodeputato che indagava sullo spyware è finito sotto sorveglianza

Mentre a Bruxelles si discuteva come arginare l’abuso degli spyware di sorveglianza, uno dei parlamentari coinvolti in quell’indagine avrebbe potuto avere in tasca un dispositivo già trasformato in una finestra aperta su conversazioni, documenti, spostamenti e relazioni personali. Un cortocircuito istituzionale. Se confermato nei suoi effetti più ampi, significa che lo spyware non si è limitato a colpire un individuo: ha lambito il processo democratico europeo nel momento in cui cercava di difendersi.

Il caso riguarda Stelios Kouloglou, ex eurodeputato greco e giornalista investigativo, finito al centro di un’analisi pubblicata da Citizen Lab, il centro di ricerca dell’Università di Toronto specializzato nell’analisi forense di campagne di sorveglianza digitale. Secondo il rapporto, il suo iPhone è stato compromesso con Pegasus, il noto spyware sviluppato da NSO Group, mentre Kouloglou faceva parte della commissione speciale del Parlamento europeo incaricata proprio di indagare sugli abusi di Pegasus e di altri software equivalenti.

La scoperta, già di per sé pesante, lo diventa ancora di più per il momento in cui gli attacchi sarebbero avvenuti: il 21 ottobre 2022 e poi tra il 6 e il 7 marzo 2023, cioè in fasi sensibili dell’attività della commissione PEGA. Kouloglou ha contattato Citizen Lab nel maggio 2026, consegnando un dispositivo per l’analisi forense. Da lì è iniziata la ricostruzione tecnica che ha portato alla pubblicazione del rapporto.

Un’infezione durante il lavoro della commissione PEGA

La commissione PEGA non era un organismo marginale. Il Parlamento europeo la istituì nel marzo 2022, nel pieno delle rivelazioni sull’uso di Pegasus e di altri strumenti di sorveglianza mercenaria contro giornalisti, oppositori, attivisti, funzionari pubblici e personalità politiche in vari Paesi dell’Unione europea. La missione della commissione era delicatissima: ascoltare testimoni, raccogliere documenti, verificare le responsabilità nazionali, valutare la compatibilità di queste pratiche con il diritto europeo e proporre contromisure. In altre parole, entrare nel punto più sensibile della nuova stagione della sorveglianza digitale: il momento in cui un malware progettato per il controterrorismo e l’intelligence viene sospettato di essere usato contro il dissenso, il giornalismo e la competizione politica.

Stelios Kouloglou, eurodeputato dal 2015 al 2024, risultava membro supplente della PEGA dal 24 marzo 2022 al 18 luglio 2023. Secondo Citizen Lab, le infezioni individuate sul suo telefono coincidono con fasi cruciali del lavoro parlamentare. Se un dispositivo del genere viene violato in quei giorni, l’attaccante può potenzialmente acquisire non solo dati personali, ma anche informazioni non pubbliche su attività istituzionali, scambi tra colleghi, bozze, contatti, preparazione di missioni e orientamenti politici. L’eventuale compromissione non colpirebbe soltanto la privacy di Kouloglou, ma potrebbe avere inciso sulla riservatezza parlamentare e sulle garanzie che proteggono il lavoro interno delle istituzioni europee.