Pegasus Yazılımı, Avrupa Parlamentosu Üyesinin Telefonunu Hedef Aldı

Avrupa Parlamentosu'nda casus yazılım istismarlarını araştıran bir politikacının telefonu, Pegasus casus yazılımı ile hacklendi. Toronto Üniversitesi'nin dijital haklar birimi Citizen Lab, Yunan gazeteci ve eski politikacı Stelios Kouloglou'nun 2022 ve 2023 yılları arasında telefonunun hacklendiğini doğruladı. Bu olay, Avrupa Parlamentosu'nun PEGA komitesinin bir üyesinin, bu tür yazılımların kurbanı olarak kamuoyuna yansıyan ilk örneği olma özelliği taşıyor.

Kouloglou, TechCrunch ile yaptığı bir telefon görüşmesinde, telefonunun kasıtlı olarak ele geçirilmesinin "düşüncesizce" olduğunu belirtti. Bir Avrupa milletvekili, Kouloglou'nun telefonunun hacklenmesini "hukukun üstünlüğüne doğrudan bir saldırı" olarak tanımladı ve Avrupa Komisyonu'na, 27 üye devlette casus yazılım kullanımını sıkı şekilde denetleme çağrısında bulundu.

Genellikle yasama organı üyelerine yönelik casus yazılım saldırıları nadir görülse de, Kouloglou'nun hedef alınması, PEGA komitesinin iç işleyişine yönelik yoğun bir ilginin olduğunu gösteriyor. Bu durum, hükümetlerin ciddi suçları tespit etmek amacıyla ihtiyaç duyduğu düşünülen casus yazılımlarla, gazetecilerin, yasama organı üyelerinin ve muhaliflerin iletişimlerini izlediği endişelerini yeniden gündeme getiriyor.

Citizen Lab araştırmacıları, telefon hack'inin belirli bir ülkeye atfedilmediğini ancak saldırganların, daha önce Avrupa genelinde gazetecilerin telefonlarını hacklemek için kullanılan Pegasus yüklü aynı e-posta adresini kullandığını bildirdi. Saldırganların kimliği bilinmiyor, ancak aynı e-posta adresinin yeniden kullanılması, NSO Group'un Pegasus yazılımını çok sayıda Avrupa ülkesinde kullanma iznine sahip olduğunu ima ediyor.

Avrupa Komisyonu'ndan bir sözcü, TechCrunch'ın yorum talebine yanıt vermedi. NSO Group da Citizen Lab raporuyla ilgili yorum talebine yanıt vermedi.

Citizen Lab'ın Cuma günü yayınladığı rapora göre, Kouloglou'nun telefonu Ekim 2022'de ve Mart 2023'te en az iki kez, Apple'ın iPhone yazılımındaki bir güvenlik açığını kullanan bir exploit ile hacklendi. Bu güvenlik açığı kapatılmıştı, ancak Kouloglou'nun telefonuna henüz yüklenmemişti. Söz konusu exploit, "zero-click" (sıfır tıklama) hatasıydı, yani casus yazılım, Kouloglou'nun herhangi bir etkileşimi olmadan telefonuna sızarak verilerini çaldı.

Hack'in Ekim 2022'de gerçekleşmesi, Kıbrıs, Yunanistan, Macaristan, Polonya ve İspanya'daki casus yazılım istismarlarını ele alan ilk taslağın hazırlanması öncesinde yoğun e-posta ve mesajlaşma tartışmalarıyla örtüşüyor. Ayrıca, Kouloglou'nun hastanede olduğu dönemde gerçekleşmesi, casus yazılım operatörlerinin sağlık durumu hakkında yapılan konuşmaları dinleme fırsatı bulmuş olabileceğini gösteriyor.

Citizen Lab, 6 ve 7 Mart tarihlerinde Kouloglou'nun telefonunun yine aynı Pegasus operatörü tarafından hacklendiğini bildirdi. Bu dönem, komite oturumlarının yapıldığı ve raporun son halinin hazırlanmasından aylar önce gerçekleşti.

Kouloglou, neden özel olarak hedef alındığını bilmediğini ancak bunun, Pegasus istismarlarını araştıran Avrupa Parlamentosu komitesindeki çalışmalarıyla bağlantılı olduğunu düşündüğünü ifade etti. Telefonunun hacklendiğini öğrendiğinde hissettiği öfkeyi, "Tüm kişisel verilerinizin alındığını fark ediyorsunuz; sadece bakanlarla olan profesyonel yazışmalar değil, aynı zamanda mutlu ve üzgün anlar gibi çok özel şeyler de alındı" şeklinde dile getirdi.

Kouloglou, İsrail merkezli casus yazılım üreticisi NSO Group'a dava açmayı planladığını belirtti. NSO, Biden yönetimi döneminde, insan haklarını ihlal edebilecek casus yazılımların kullanımını yasaklayan bir kararname ile Amerika Birleşik Devletleri'nde büyük ölçüde yasaklı durumda.

Geçen yıl, casus yazılım üreticisi, ismi açıklanmayan bir Amerikan yatırım grubunun şirkete on milyonlarca dolar aktardığını doğrulamıştı; bu, NSO'nun zor durumda olan imajını düzeltme çabası olarak değerlendiriliyor.