Stelios Kouloglou, un antiguo miembro del Parlamento Europeo (MEP) que formó parte del comité que investigaba los abusos del spyware Pegasus, fue él mismo infectado repetidamente con el spyware Pegasus de NSO Group durante su mandato, según nuevos hallazgos forenses de Citizen Lab.

Este descubrimiento marca la primera vez que un miembro del comité PEGA ha sido identificado públicamente como víctima de Pegasus mientras servía activamente en la investigación.

Kouloglou fue miembro suplente del Comité de Investigación del Parlamento Europeo sobre Pegasus y spyware de vigilancia equivalente (Comité PEGA) desde marzo de 2022 hasta julio de 2023. El análisis forense de su iPhone, realizado después de que contactara con Citizen Lab en mayo de 2026, reveló que su dispositivo fue comprometido en múltiples ocasiones durante las deliberaciones más sensibles del comité.

El dispositivo de Kouloglou fue infectado con Pegasus el 21 de octubre de 2022, y nuevamente entre el 6 y 7 de marzo de 2023. La primera infección utilizó el exploit de cero clics PWNYOURHOME, evidenciado por una búsqueda de una dirección de correo electrónico vinculada a HomeKit (rauharepo888@gmail.com) seguida de actividad de red de Pegasus dos minutos después.

Teléfono de MEP hackeado con Pegasus

Apple envió a Kouloglou notificaciones de amenazas en tres ocasiones distintas: el 2 de marzo de 2023, el 29 de agosto de 2023 y el 10 de abril de 2024. Él no recuerda haberlas visto.

Ambas fechas de infección coinciden precisamente con periodos intensos de actividad del Comité PEGA, incluyendo la preparación de audiencias, la circulación de borradores de informes y visitas de delegaciones internacionales.

La infección de octubre de 2022 ocurrió diez días antes de un viaje de la delegación PEGA a Chipre y Grecia que Kouloglou ayudó a planificar y al que se unió personalmente. También coincidió con la redacción del primer informe del comité, gran parte del cual se estaba discutiendo mediante textos y correos electrónicos entre los miembros y el personal.

Cabe destacar que la fecha exacta de la infección ocurrió mientras Kouloglou estaba hospitalizado para una cirugía programada. Ese mismo día, recibió la visita del periodista de investigación griego Thanasis Koukakis, quien previamente había testificado ante el PEGA sobre haber sido objetivo del spyware Predator de Intellexa.

Debido a que la infección ocurrió durante una estancia hospitalaria, Citizen Lab señala que es posible que el spyware haya capturado información médica confidencial, lo que podría implicar la ley de protección de datos griega.

La segunda infección, en marzo de 2023, ocurrió mientras Kouloglou estaba en Bruselas durante las negociaciones finales del informe del comité, y coincidió con una visita separada de la delegación vinculada al PEGA a Grecia por parte de la ponente Sophie in 't Veld.

Citizen Lab evitó atribuir el hackeo a un gobierno específico, declarando explícitamente que no encontró pruebas de que el gobierno griego fuera el responsable y ninguna indicación de que Grecia haya sido alguna vez cliente de NSO Group.

En su lugar, los investigadores identificaron una coincidencia: el mismo correo electrónico vinculado a HomeKit utilizado en la primera infección de Kouloglou también apareció en un informe conjunto de 2024 con Access Now que documenta el uso de Pegasus contra periodistas y activistas exiliados de habla rusa y bielorrusa en toda Europa.

Kouloglou no es el primer MEP que se descubre hackeado con spyware mercenario. Los MEP catalanes Diana Riba, Jordi Solé y Carles Puigdemont fueron confirmados previamente como objetivos de Pegasus, al igual que el MEP griego Nikos Androulakis (Predator).

Más recientemente, la MEP francesa Nathalie Loiseau y el MEP alemán Daniel Freund confirmaron el uso de spyware contra ellos en 2024. Sin embargo, Kouloglou es el primer miembro del Comité PEGA identificado como comprometido mientras servía activamente en la propia investigación.