Di musim panas tahun 2022, politisi Yunani Stelios Kouloglou sedang menyelidiki betapa mengganggunya spyware digunakan untuk meretas para pemimpin bisnis, pejabat penegak hukum, dan politisi. Sebagai bagian dari Komite PEGA Parlemen Eropa, yang dibentuk untuk menyelidiki penggunaan bahan-bahan terkenal Spyware Pegasus dan varian lainnya, Kouloglou melakukan perjalanan untuk mewawancarai korban spyware dan menyelidiki kasus-kasus penting. Musim gugur itu, menurut analisis forensik baru, iPhone Kouloglou diretas dengan spyware Pegasus yang sama yang menjadi pusat penyelidikan.
“Saya tidak menyangka hal itu terjadi,” Kouloglou, seorang jurnalis investigasi lama yang menjabat sebagai anggota Parlemen Eropa (MEP) dari tahun 2015 hingga 2024, mengatakan kepada WIRED. Dia mengatakan bahwa ketika dia baru-baru ini mengetahui bahwa perangkatnya telah disusupi oleh spyware yang kuat, dia terkejut dan kemudian marah.
“Saya menjadi anggota Komite Pegasus yang menyelidiki Pegasus dan pada saat yang sama diretas oleh Pegasus,” katanya, “itu adalah sesuatu yang terlalu sembrono.”
Pertama ditemukan oleh Citizen Lab pada tahun 2016, Pegasus mengeksploitasi serangkaian kerentanan sistem operasi seluler yang terus berkembang untuk menginfeksi perangkat iOS dan Android dengan malware yang dapat menyadap mikrofon dan kamera serta mengambil pesan target, data kontak, detail penjelajahan web, foto, atau informasi pribadi lainnya.
Pengungkapan bahwa perangkat Kouloglou menjadi sasaran—tidak hanya sekali, tetapi berkali-kali—oleh spyware Pegasus, yang dibuat oleh perusahaan Israel NSO Group, diterbitkan pada hari Jumat oleh Citizen Lab Universitas Toronto. Laporan tersebut, yang dapat menimbulkan gelombang kejutan di kalangan politik di Eropa, mengatakan bahwa ini adalah pertama kalinya seorang anggota Komite PEGA diidentifikasi sebagai korban spyware Pegasus saat mereka bekerja dalam kelompok tersebut. Para peneliti mengatakan mereka tidak memiliki bukti konklusif tentang pemerintah atau entitas apa yang berada di balik serangan terhadap perangkat Kouloglou, namun mereka mencatat bahwa siapa pun yang melakukan serangan berpotensi mendapatkan akses ke informasi internal tentang kegiatan dan temuan komite, yang berpotensi melanggar persyaratan kerahasiaan parlemen Uni Eropa dan privasi masyarakat.
John Scott-Railton, peneliti senior Citizen Lab, menekankan bahwa meskipun penargetan ini terjadi beberapa tahun yang lalu, ironi dari episode ini menggarisbawahi betapa endemik—dan kurang ajar—penargetan spyware di UE dan sekitarnya. “Ini adalah musim spyware terbuka bagi anggota parlemen Eropa,” katanya. “Parlemen Eropa, parlemen nasional, tidak ada yang siap.”
NSO, pengembang Pegasus, tidak membalas permintaan WIRED untuk mengomentari temuan tersebut. NSO didirikan di Israel dan masih berkantor pusat di sana, namun investornya berbasis di Amerika Serikat diperoleh kepemilikan mayoritas di perusahaan tersebut pada tahun 2025.
Investigasi Eropa terhadap penggunaan Pegasus dan spyware lainnya pada tahun 2022 sebagian besar dipicu oleh Proyek Pegasusterdiri dari penelitian dan pelaporan dari lebih dari selusin media dan organisasi non-pemerintah tentang kebocoran besar dari NSO Group. Data tersebut menunjukkan skala dan cakupan luas penggunaan Pegasus di seluruh dunia, dengan setidaknya 180 jurnalis di antara mereka yang dilaporkan. ditargetkan oleh spyware. Grup NSO membantah temuan tersebut. Pada waktu yang hampir bersamaan, Yunani juga mengalami hal yang sama diguncang oleh skandal spyware terpisahyang dikenal secara lokal sebagai “Pintu Air Yunani,” tempat puluhan jurnalis terkemuka serta pejabat pemerintah dan militer berada ditargetkan dengan spyware Predator yang dibuat oleh Intellexa.
Para peneliti mencatat pada saat itu bahwa Proyek Pegasus menunjukkan perlunya kolaborasi pemerintah-swasta dan upaya kebijakan bersama untuk mengatasi penyalahgunaan spyware secara komprehensif. Banyak yang menyimpulkan bahwa perlindungan teknologi saja tidak dapat mengatasi masalah ini.
Laporan Citizen Lab tentang penargetan dalam Komite PEGA juga menunjukkan hal ini. “Penggunaan spyware tidak hanya melanggar hak-hak dasar individu yang bersangkutan, namun dalam kasus ini juga mengancam keamanan dan integritas kerja parlemen dan Parlemen Eropa secara keseluruhan,” MEP Saskia Bricmont, anggota Komite PEGA, mengatakan kepada WIRED dalam sebuah pernyataan. “Ini adalah serangan langsung terhadap supremasi hukum.”
Penelitian tersebut tidak menyebutkan nama pemerintah mana pun yang mungkin telah menggunakan Pegasus untuk melawan Kouloglou, dan secara khusus mencatat bahwa penelitian tersebut tidak menemukan indikasi keterlibatan pemerintah Yunani. Tapi Citizen Lab mengatakan mereka menemukan tumpang tindih antara serangan terhadap ponsel Kouloglou dan penggunaan Pegasus untuk melawan tujuh jurnalis dan aktivis berbahasa Rusia dan Belarusia antara Agustus 2020 dan Januari 2023.
“Mereka tidak hanya menargetkan anggota Parlemen Eropa, mereka juga memata-matai penyelidikan terhadap penyalahgunaan spyware. Hal ini menunjukkan betapa absurdnya situasi ini,” kata Hannah Neumann, anggota Parlemen Eropa dari Partai Hijau yang bertugas di komite spyware, kepada WIRED.
Seorang juru bicara Parlemen Eropa tidak secara langsung mengomentari temuan tersebut ketika ditanya oleh WIRED, namun mengatakan bahwa mereka memiliki “sistem penyaringan spyware” yang tersedia untuk semua anggota Parlemen Eropa dan baru-baru ini langkah-langkah yang diambil untuk memperluas perlindungannya.
Ponsel Kouloglou pertama kali terinfeksi saat dia berada di rumah sakit pada 21 Oktober 2022, menurut temuan dari Citizen Lab. Saat memulihkan diri dari operasi elektif, ia dikunjungi oleh jurnalis investigasi Yunani Thanasis Koukakis, yang telah menjalani operasi sebelumnya telah diretas dengan spyware Predator. Minggu berikutnya, Komite PEGA mengadakan beberapa dengar pendapat mengenai dampak spyware dan bagaimana hal itu dapat mengganggu hak asasi manusia. Anggota komite, termasuk Kouloglou, kemudian mengunjungi Siprus dan Yunani sebagai bagian dari penyelidikannya.
Pada tanggal 6 dan 7 Maret 2023, menurut temuan, ponsel Kouloglou kembali terinfeksi spyware Pegasus. Neumann, yang juga merupakan bagian dari penyelidikan, mengatakan bahwa sekitar waktu telepon Kouloglou dibobol untuk pertama kalinya, komite tersebut sedang menuju ke “sidang penting,” termasuk mempertanyakan perusahaan-perusahaan yang beroperasi dalam industri spyware.
Pada saat kejadian tahun 2023, kata Neumann, kelompok tersebut sedang menyelesaikan dan melakukan negosiasi mengenai temuannya. “Melihat tanggal-tanggalnya, cukup jelas bahwa seseorang tidak hanya memata-matainya secara acak, namun benar-benar menargetkan pekerjaan komite,” kata Neumann.
“Saya marah karena Anda menyadari bahwa kehidupan pribadi Anda, termasuk pesan tidak hanya dengan politisi, teman, tapi kehidupan pribadi Anda dengan kerabat, anak, istri, dan lain-lain telah diawasi oleh seseorang,” kata Kouloglou. “Ini bukan hanya soal privasi, ini juga soal keadilan, demokrasi, dan pemberantasan korupsi.”
Citizen Lab menemukan, sebagai bagian dari analisis forensiknya, bahwa ponsel Kouloglou menerima tiga pemberitahuan dari Apple, pada bulan Maret dan Agustus 2023 dan April 2024, yang memperingatkannya bahwa dia kemungkinan besar menjadi sasaran spyware. Pemberitahuan ini tidak dikeluarkan secara real time dan Kouloglou mengatakan dia tidak ingat pernah melihatnya.
Kouloglou dan anggota parlemen lainnya mengatakan kepada WIRED bahwa mereka khawatir anggota komite lainnya juga bisa menjadi sasaran dan bahwa kelompok tersebut rekomendasi—termasuk pembentukan laboratorium teknologi berbasis di Uni Eropa yang berfokus pada analisis perangkat forensik dan satuan tugas spyware untuk pemilu—belum diadopsi bertahun-tahun setelah komite tersebut menyelesaikan laporannya.
“Eropa mempunyai banyak sekali pelanggaran spyware, dan tidak terjadi apa-apa—hal ini memalukan bagi institusi-institusi Eropa,” kata Scott-Railton dari Citizen Lab. “Hal ini membuat masyarakat Eropa tidak terlindungi bahkan ketika AI berjanji untuk meningkatkan ancaman spyware tentara bayaran dengan menurunkan biaya dan hambatan masuk.”
Ia juga mencatat bahwa beberapa negara, termasuk Amerika Serikat, telah mencapai kemajuan dalam memerangi penggunaan spyware melalui sanksi, larangan visa, perintah eksekutif, dan tindakan pencegahan lainnya.
“Kesadaran akan masalah yang ditimbulkan oleh spyware tentara bayaran sangat besar,” kata Neumann. “Itulah keseluruhan laporan yang ditulis oleh Komite Pegasus. Tidak ada kekurangan rekomendasi tentang cara memperbaikinya. Ini hanya masalah, bisakah Anda melakukannya sekarang?”
