Айфон евродепутата Кулоглу заразили Pegasus во время расследования шпионского софта в ЕС

Специалисты по кибербезопасности из лаборатории Citizen Lab (Университет Торонто) установили, что айфон греческого журналиста и бывшего депутата Европарламента Стелиоса Кулоглу был заражён шпионской программой Pegasus в тот период, когда он работал в комитете Европарламента, расследовавшем злоупотребления таким софтом в ЕС. Отчёт опубликован 3 июля 2026 года. Это первый публично установленный случай взлома участника этого комитета.

Что установили эксперты

Кулоглу был депутатом Европарламента; по данным Meduza и Al Jazeera — в 2015–2024 годах. С 24 марта 2022-го по 18 июля 2023 года он был запасным (substitute) членом Комитета по расследованию использования Pegasus и аналогичного шпионского ПО (PEGA Committee). Сам комитет учредили 10 марта 2022 года после публикаций «Проекта Pegasus», раскрывших, что европейские правительства применяли шпионский софт против журналистов, активистов и политиков.

В мае 2026 года Кулоглу обратился в Citizen Lab, и специалисты провели криминалистический анализ данных с его iPhone. Они с высокой уверенностью заключили, что устройство было заражено Pegasus «примерно 21 октября 2022 года», а затем повторно — 6 и 7 марта 2023-го. По оценке экспертов, использовался zero-click-эксплойт под кодовым названием PWNYOURHOME, нацеленный на систему Apple HomeKit; на момент атак телефон работал под iOS 15.5. По словам исследователей, злоумышленники могли получить доступ к конфиденциальным документам и материалам обсуждений комитета.

Анализ также показал, что Кулоглу получал уведомления Apple об атаках «наёмнического» шпионского софта трижды: 2 марта 2023 года, 29 августа 2023-го и 10 апреля 2024-го.

По данным Citizen Lab, первое заражение совпало с госпитализацией Кулоглу в Греции для плановой операции; его в больнице навещал греческий журналист-расследователь Танасис Кукакис, чей телефон ранее был заражён софтом Predator и который выступал перед PEGA-комитетом. Второе заражение в марте 2023 года пришлось на период слушаний и работы над финальной версией доклада комитета.

Атрибуция

Citizen Lab не связывает взломы с конкретным правительством и заявляет, что не нашла указаний на причастность греческих властей, несмотря на их задокументированное применение софта Predator (Intellexa). При этом исследователи отметили пересечение между первым заражением и ранее выявленной кампанией Pegasus против русско- и белорусскоязычных журналистов и активистов в изгнании в Европе.

Связь установлена по одному и тому же адресу электронной почты — rauharepo888[@]gmail.com, использованному при атаках. По оценке Citizen Lab, такие адреса уникальны для конкретных операторов, а значит, за атакой, вероятно, стоит клиент NSO Group с лицензией, позволяющей заражать устройства в нескольких юрисдикциях ЕС. Насчёт второго заражения 2023 года исследователи не смогли утверждать, связано ли оно с тем же оператором.

Здесь важно учитывать позицию правозащитников. В совместном заявлении, подписанном Access Now, Amnesty International, «Репортёрами без границ» и другими организациями, подчёркивается, что нет данных о том, что Россия или Беларусь когда-либо были клиентами Pegasus. Ту же оговорку приводит и Meduza.

Кампания против журналистов из России и Беларуси была описана Citizen Lab и Access Now в отчёте от мая 2024 года: тогда установили, что жертвами Pegasus стали семь человек, живущих в Европе, большинство атак пришлось на страны Балтии. Ранее, в сентябре 2023 года, Citizen Lab и Access Now сообщили, что 10 февраля 2023-го Pegasus заразили телефон издателя «Медузы» Галины Тимченко — это первый подтверждённый случай атаки Pegasus на российского журналиста. Атрибуцию в её деле эксперты также не смогли установить окончательно.

Что такое Pegasus

Pegasus — разработка израильской компании NSO Group, основанной выходцами из военной разведки и спецслужб Израиля. Софт продаётся только государственным клиентам и даёт оператору доступ к микрофону, камерам, памяти устройства и переписке, в том числе в зашифрованных мессенджерах. В 2021 году NSO Group внесли в чёрный список власти США.

Реакция

Кулоглу, по данным CyberScoop и TechCrunch, заявил, что намерен подать в суд на NSO Group. NSO Group и Еврокомиссия на момент публикаций не ответили на запросы журналистов.

Правозащитные организации потребовали от институтов ЕС действовать. В совместном заявлении они призвали Генеральный директорат Европарламента по ИТ и кибербезопасности (DG ITEC) провести независимое и беспристрастное расследование взлома Кулоглу и установить масштаб атак на парламентариев; Еврокомиссию — публично отчитаться о выполнении рекомендаций PEGA-комитета; государства-члены — обеспечить пострадавшим эффективные средства правовой защиты и привлечь к ответственности как государственных, так и корпоративных виновных. Также прозвучал призыв усилить применение Регламента ЕС о товарах двойного назначения.