Ο ερευνητής του Pegasus χτυπήθηκε από το ίδιο το Pegasus

Το νήμα των υποκλοπών είχε ήδη μετατοπιστεί από την Αθήνα στις Βρυξέλλες, με ένα email του 2019 να μεταθέτει το βάρος του σκανδάλου Predator προς την Ευρώπη (To Brief). Τώρα μια νέα έκθεση το φέρνει μέσα στην ίδια την Ευρωβουλή: ο άνθρωπος που ερευνούσε το ισραηλινό κατασκοπευτικό λογισμικό Pegasus, το είχε ήδη μέσα στο τηλέφωνό του.

Το καναδικό εργαστήριο Citizen Lab, σε έκθεση της 3ης Ιουλίου, τεκμηριώνει ότι το iPhone του πρώην ευρωβουλευτή Στέλιου Κούλογλου μολύνθηκε τρεις φορές με Pegasus, ενώ ήταν μέλος της PEGA, της εξεταστικής επιτροπής του Ευρωκοινοβουλίου που είχε στηθεί ακριβώς για να ξεσκεπάσει τις καταχρήσεις spyware στην Ευρώπη (Citizen Lab). Είναι η πρώτη δημόσια τεκμηριωμένη περίπτωση μέλους της επιτροπής που παρακολουθήθηκε με το ίδιο εργαλείο που ερευνούσε.

Η υπόθεση κρίνεται στις ημερομηνίες.

Οι τρεις ημερομηνίες που δεν είναι τυχαίες

Η πρώτη μόλυνση καταγράφεται στις 21 Οκτωβρίου 2022. Εκείνη ακριβώς την περίοδο η PEGA βρισκόταν σε έντονη φάση σύνταξης του πρώτου της πορίσματος και σχεδίαζε αποστολές σε Κύπρο, Ελλάδα και Ισπανία (Le Monde). Οι άλλες δύο, στις 6 και 7 Μαρτίου 2023, πέφτουν λίγες μέρες πριν το κλείσιμο του φακέλου, στην προτελική φάση διαπραγμάτευσης του κειμένου. Εκείνο το κείμενο κατέληξε τον Ιούνιο του 2023 στις τελικές συστάσεις της επιτροπής (The Guardian).

Τι θα μπορούσε να δει κάποιος που μπαίνει στο τηλέφωνο ενός μέλους της επιτροπής εκείνες τις μέρες; Draft πορίσματα, εσωτερικές διαβουλεύσεις για τα ευρήματα ανά χώρα, τον προγραμματισμό των αποστολών, λίστες μαρτύρων και επαφών (Upday). Με άλλα λόγια, το εσωτερικό της ίδιας της ευρωπαϊκής έρευνας για το spyware. Η χρονική σύμπτωση κάνει εύλογη την υπόθεση ότι ο στόχος ήταν να διαβαστεί η έρευνα από μέσα. Αλλά εδώ χρειάζεται προσοχή: το Citizen Lab τεκμηριώνει τη σύμπτωση και την πρόσβαση, όχι το κίνητρο. Ποιος έδωσε την εντολή παραμένει άγνωστο.

Το ίχνος που βγάζει την υπόθεση εκτός Ελλάδας

Το πιο κρίσιμο τεχνικό εύρημα είναι αυτό που, παραδόξως, τραβά την προσοχή μακριά από την Αθήνα. Οι ερευνητές εντόπισαν στη μόλυνση Κούλογλου ένα μοναδικό Apple ID email που είχε ήδη εμφανιστεί σε προηγούμενη καμπάνια Pegasus: τις επιθέσεις εναντίον Ρώσων και Λευκορώσων εξόριστων δημοσιογράφων και αντιφρονούντων στην Ευρώπη (The Guardian).

Εκείνο το κύκλωμα δεν είναι αφηρημένο. Ξεκίνησε με τη Γκαλίνα Τιμτσένκο της Meduza, που μολύνθηκε στο Βερολίνο τον Φεβρουάριο του 2023 (CPJ), και επεκτάθηκε σε στόχους στη Ρίγα, τη Βαρσοβία και τη Βίλνιους, οκτώ τεκμηριωμένες περιπτώσεις συνολικά (Citizen Lab). Ο κοινός τεχνικός δείκτης δείχνει έναν χειριστή του Pegasus που δρούσε διασυνοριακά μέσα στην ΕΕ, με πιθανό επιχειρησιακό πεδίο σε Βέλγιο και Ελλάδα (Straits Times).

Ο κοινός δείκτης όμως δεν είναι ταυτότητα. Το ίδιο το Citizen Lab δηλώνει ρητά ότι δεν αποδίδει την επίθεση σε κράτος και ότι δεν βρήκε στοιχεία που να ενοχοποιούν την ελληνική κυβέρνηση (Al Jazeera).

Γιατί μετρά για την Ευρώπη, όχι μόνο για την Αθήνα

Η PEGA δεν είχε ζητήσει απλώς «περισσότερη προσοχή». Είχε ζητήσει ανεξάρτητη δικαστική άδεια πριν από κάθε χρήση spyware, πραγματικά ένδικα μέσα για τα θύματα, όριο στην επίκληση «εθνικής ασφάλειας» και ανάκληση αδειών εξαγωγής όταν παραβιάζεται το ενωσιακό δίκαιο (PubAffairs). Τρία χρόνια μετά, δεν υπάρχει ειδική δεσμευτική νομοθεσία της ΕΕ για το spyware, και οργανώσεις ψηφιακών δικαιωμάτων μιλούν ανοιχτά για έλλειψη νομοθετικής συνέχειας (EDRi). Η Κομισιόν παρέπεμπε εξαρχής τις έρευνες στις εθνικές αρχές (EUobserver), εν μέρει πολιτική επιλογή, εν μέρει δομικό όριο, αφού η εθνική ασφάλεια και οι άδειες εξαγωγής μένουν στα κράτη μέλη.

Στην Ελλάδα, ΣΥΡΙΖΑ και Νέα Αριστερά ζήτησαν συντονισμένη έρευνα ελληνικών και βελγικών αρχών (in.gr). Ο Κούλογλου εξετάζει αγωγή κατά της NSO, που δεν σχολίασε. Η υπόθεση δεν δένει την ελληνική κυβέρνηση με το Pegasus. Κάνει όμως κάτι πιο ανησυχητικό: δείχνει ότι όποιος κι αν ήταν ο χειριστής, μπορούσε να διαβάζει την ίδια την έρευνα που τον κυνηγούσε, και κανένας θεσμός δεν το αντιλήφθηκε επί τρία χρόνια.