Peneliti keamanan telah mengonfirmasi bahwa seorang politikus Eropa mengalami peretasan ponsel dengan menggunakan spyware Pegasus saat menjabat di komite investigasi yang menyelidiki penyalahgunaan alat pengawasan yang terkenal tersebut. Kasus ini menghidupkan kembali kontroversi mengenai penyalahgunaan spyware oleh pemerintah untuk mengumpulkan informasi tentang kritik mereka.
Peneliti dari unit hak digital Citizen Lab di Universitas Toronto mengatakan bahwa peretasan ponsel jurnalis dan mantan politikus Yunani, Stelios Kouloglou, selama tahun 2022 dan 2023, adalah kali pertama seorang anggota komite PEGA Parlemen Eropa yang ditugaskan untuk menyelidiki serangan spyware ponsel oleh pemerintah Eropa secara publik teridentifikasi sebagai korban dari spyware tersebut.
Kouloglou mengungkapkan kepada TechCrunch melalui telepon bahwa kompromi ponselnya adalah tindakan yang “ceroboh”. Seorang anggota legislatif Eropa menyebut peretasan ponsel Kouloglou sebagai “serangan langsung terhadap supremasi hukum” dan meminta Komisi Eropa untuk mengambil tindakan konkret dengan memberlakukan pembatasan ketat terhadap penggunaan spyware di negara-negara anggota yang berjumlah 27 tersebut.
Meski serangan spyware terhadap legislator tergolong jarang, waktu dan target penyelidik komite yang menjadi sasaran spyware yang sedang diselidikinya menunjukkan fokus yang tajam pada proses kerja internal komite menjelang rilis laporan yang sangat ditunggu-tunggu mengenai temuannya. Peretasan ini memunculkan pertanyaan baru tentang bagaimana pemerintah menggunakan spyware yang seharusnya dibutuhkan untuk mengidentifikasi kejahatan serius, namun justru digunakan untuk memata-matai komunikasi jurnalis, legislator, dan kritikus.
Peneliti dari Citizen Lab tidak mengaitkan peretasan ponsel ini dengan negara tertentu, tetapi menyebut bahwa klien pemerintah menggunakan alamat email berbasis Pegasus yang sama dengan alamat yang digunakan dalam kampanye sebelumnya yang meretas ponsel jurnalis di seluruh Eropa. Identitas klien tersebut tidak diketahui, tetapi penggunaan kembali alamat email yang sama menunjukkan bahwa klien itu memiliki izin dari NSO Group untuk menggunakan spyware Pegasus-nya untuk mengawasi ponsel di berbagai negara di Eropa.
Juru bicara Komisi Eropa tidak menanggapi permintaan komentar dari TechCrunch. NSO Group juga tidak merespons permintaan untuk memberikan komentar tentang laporan Citizen Lab sebelum publikasi.
Dalam laporan yang dirilis Jumat lalu, Citizen Lab menyatakan bahwa Kouloglou diretas pada bulan Oktober 2022 dan setidaknya dua kali pada bulan Maret 2023 dengan menggunakan eksploitasi yang memanfaatkan kerentanan keamanan dalam perangkat lunak iPhone milik Apple. Kerentanan ini sudah diperbaiki, tetapi perbaikan tersebut belum diinstal pada ponsel Kouloglou. Eksploitasi itu adalah bug “zero-click”, yang berarti spyware dapat masuk dan mencuri data tanpa perlu interaksi dari Kouloglou.
Bug ini memanfaatkan celah yang sudah diketahui sebelumnya dalam perangkat lunak smart home Apple yang digunakan di iPhone. Hal ini memungkinkan spyware untuk mengambil data pribadi Kouloglou tanpa sepengetahuannya, seperti pesan teks dan komunikasi lainnya, data lokasi, serta foto-foto.
Waktu peretasan pada bulan Oktober 2022 bersamaan dengan diskusi intensif melalui email dan pesan teks selama bulan Oktober dan November 2022, menjelang penyampaian draf awal yang menggambarkan penyalahgunaan spyware yang berfokus pada Siprus, Yunani, Hongaria, Polandia, dan Spanyol.
Peretasan ini juga terjadi tepat ketika Kouloglou berada di rumah sakit untuk operasi yang sudah dijadwalkan sebelumnya, yang mungkin memungkinkan operator spyware untuk mendengarkan percakapan terkait kesehatannya atau percakapan lain dengan pengunjung selama itu.
Bulan-bulan kemudian, pada tanggal 6 dan 7 Maret, Citizen Lab melaporkan bahwa ponsel Kouloglou kembali diretas oleh operator Pegasus yang sama saat ia melakukan perjalanan dari Athena ke Brussel, di tengah periode sidang komite dan beberapa bulan sebelum komite menyelesaikan dan mengadopsi laporan draf tertulis mereka.
Kouloglou menyatakan kepada TechCrunch bahwa ia tidak tahu mengapa ia menjadi target, tetapi percaya bahwa itu berkaitan dengan pekerjaannya di komite Parlemen Eropa yang menyelidiki penyalahgunaan Pegasus.
Ia menggambarkan kemarahan saat mengetahui bahwa ponselnya telah diretas. “Kamu menyadari bahwa semua data pribadimu diambil—bukan hanya komunikasi profesional atau pesan dengan menteri—tapi juga momen-momen pribadi, baik yang bahagia maupun yang menyedihkan,” tutur Kouloglou.
Kouloglou berencana untuk mengajukan gugatan terhadap NSO Group, produsen spyware yang berbasis di Israel. NSO saat ini sebagian besar dilarang digunakan di Amerika Serikat setelah perintah eksekutif era Biden yang melarang penggunaan spyware yang bisa melanggar hak asasi manusia.
Tahun lalu, produsen spyware ini mengonfirmasi bahwa sekelompok investor asal Amerika yang tidak disebutkan namanya menyuntikkan puluhan juta dolar ke dalam perusahaan, kemungkinan sebagai bagian dari upaya untuk memulihkan citra NSO yang terdampak karena terkait dengan penyalahgunaan hak asasi manusia.
Kouloglou menyatakan bahwa ia mengungkapkan kisahnya “demi demokrasi, hak asasi manusia, dan perjuangan melawan korupsi.” “Kepentingan korupsi berdampak pada semua orang,” ujarnya.
