Stelios Kouloglou conhecia o jogo. Ele era um eurodeputado, parte da força-tarefa especial da UE para caçar spyware. No verão de 2022, viajou pelo continente, reunindo-se com vítimas da vigilância digital, revelando camadas sobre um escândalo que envolveu jornalistas, chefes de polícia e políticos. Ele pensou que estava segurando a lupa. Ele não sabia que as lentes estavam voltadas para ele.
Então os dados foram divulgados. Seu iPhone foi comprometido. Por Pégaso. A mesma ferramenta que ele foi contratado para expor.
“Foi algo muito imprudente”, diz ele.
É uma piada sombria. Um investigador hackeado pelo crime que investiga. Kouloglou passou anos investigando esse assunto antes de ingressar no parlamento, por isso não foi ingênuo em relação às ameaças. Ainda. O choque é diferente quando é o seu próprio telefone tocando com malware. Agora ele está com raiva. Com razão.
Aqui está o histórico que você provavelmente conhece, mas precisa ouvir novamente. Pegasus não é apenas um aplicativo que você baixa acidentalmente. Ele explora falhas no iOS e no Android para escapar das defesas. Uma vez lá dentro? A câmera rola. O microfone permanece aberto. Mensagens, fotos, listas de contatos, tudo vai para quem pagou. Desenvolvido pelo NSO Group, uma empresa israelense que recentemente viu a maioria de suas ações serem compradas por investidores norte-americanos em 2025, o spyware é vendido a governos. Teoricamente para capturar terroristas. Na prática? Freqüentemente usado para jornalistas, ativistas e políticos irritantes.
O Citizen Lab da Universidade de Toronto retirou o relatório forense na última sexta-feira. O momento não poderia ser pior. Ou melhor, dependendo se você gosta de drama. O telefone de Kouloglou não foi alvo nenhuma vez. Mas várias vezes. Primeiro em 21 de outubro de 2202, enquanto estava no hospital se recuperando de uma cirurgia eletiva. Imaginar. Deitado lá. Vulnerável. Então, um jornalista investigativo grego – Thanasis Koukakis – que foi hackeado por outro spyware chamado Predator, o visita. Eles conversam. Talvez sobre o comitê. Talvez sobre o caso.
Então silêncio. Até março de 2023. O comitê estava se preparando para audiências importantes. Eles estavam prestes a interrogar fornecedores de spyware. É quando Pegasus ataca novamente. Nos dias 6 e 7 de março. Coincidência? Você me diz.
A ironia é sufocante.
Hannah Neumann, outra eurodeputada da comissão que tem uma inclinação verde e definitivamente não é subtil a este respeito, considerou-o absurdo. Os atacantes não estavam apenas observando o cara. Eles estavam assistindo a investigação.
“Espionamos a investigação de espionagem”, disse Neumann à WIRED. Foi assim que aconteceu.
Os pesquisadores do Citizen Lab fizeram um mergulho profundo. Eles não conseguiram identificar quem ordenou os ataques. Nenhuma arma fumegante apontada para uma agência governamental específica. Desta vez, excluíram explicitamente o governo grego, o que é importante porque a Grécia estava no meio da sua própria confusão de spyware ao estilo “Watergate”, envolvendo o software Predator da Intellexa na mesma altura. Mas as impressões digitais coincidem. Os vetores de ataque coincidiram com tentativas contra sete jornalistas de língua russa e bielorrussa entre o final de 2020 e o início de 2023. É um padrão. É sempre um padrão.
John Scott-Railton, do Citizen Lab, diz isso sem rodeios.
“É temporada de spyware aberto aos legisladores europeus.”
Ninguém está preparado. Parlamentos nacionais? Indefeso. A UE? Dormindo.
Kouloglou admite que provavelmente viu os avisos de “Lockdown” da Apple – os alertas que dizem ‘ei, alguém pode estar hackeando você’. Ele os recebeu em março e agosto de 2.303. Novamente em abril de 2.404. Mas as notificações chegam tarde. Quando a carta chega, o roubo está feito. Ele não se lembra de tê-los visto de qualquer maneira. Quem olha para a tela em busca de erros quando está ocupado salvando a democracia?
O que mais incomoda as pessoas é que nada mudou. O Comitê PEGA concluiu seu trabalho. Entregou uma lista de demandas. Construir um laboratório tecnológico da UE para análises forenses. Crie uma força-tarefa de spyware para as eleições. Proteja os canais. Os anos se passaram. A poeira baixou. E então bam. Um membro do comitê fica enraizado.
A Europa ignorou o problema até que o problema atingiu a mão que a alimenta.
O porta-voz do Parlamento Europeu não deu detalhes à WIRED, mas apontou alguns “sistemas de triagem” para os eurodeputados. Medidas. Expansões de proteção. Parece jargão tecnológico para “estamos tentando”. Mas tente mais. As recomendações estão reunindo moldes digitais.
Scott-Railton considera a situação uma vergonha. E ele não está errado. Outras nações se mudaram. Os EUA sancionaram fornecedores, proibiram vistos e usaram ordens executivas para acalmar o mercado de spyware. A Europa apenas debate. Enquanto isso, a IA está tornando isso mais barato. Mais fácil. Mais rápido. A barreira à entrada está desaparecendo.
Kouloglou encara a violação como uma violação da sua vida pessoal. Mensagens com crianças. Com parentes. Não apenas coisas de trabalho. Vida.
“Não é apenas uma questão de privacidade. É justiça. Democracia.”
Ele quer responsabilidade. Mas a responsabilização requer ação. Até agora, o silêncio é mais alto que os alarmes de spyware.
