Pegasus rammer sin egen EU-undersøger

Stelios Kouloglou skulle være den, der stillede spørgsmålene. Den græske journalist, der senere blev medlem af Europa-Parlamentet, sad i PEGA, Parlamentets undersøgelsesudvalg om medlemslandes brug af kommerciel spyware mod egne borgere. Udvalget kunne indkalde embedsmænd, kræve dokumenter og skrive anbefalinger. Det kunne ikke tvinge nationale efterretningstjenester til at samarbejde. Netop det hul er nu blevet sagens kerne.

Omkring oktober 2022 blev Kouloglous iPhone ifølge en ny rapport fra Citizen Lab lydløst kompromitteret af det værktøj, han selv undersøgte: NSO Groups Pegasus (The Guardian, Le Monde). Angrebet gentog sig i marts 2023, mens udvalget var dybt inde i arbejdet med sin rapport. Mindst ét angreb var såkaldt zero-click: Spywaren udnyttede et skjult sikkerhedshul i Apples software, som Apple endnu ikke havde fundet eller lukket, og trængte ind i telefonen uden at ejeren trykkede på noget (The Straits Times).

Europa kan ofte bevise, at en telefon er blevet inficeret. Det er langt sværere at bevise, hvem der gav ordren. Det er den kløft, sagen handler om.

Hvad en inficeret telefon betyder for et udvalg

Krypterede beskeder kan sammenlignes med et forseglet brev: Apps som Signal beskytter brevet, mens det er undervejs. Pegasus forsøger ikke at opsnappe brevet på vejen. Det placerer sig i rummet, hvor brevet bliver læst, efter at det er åbnet (Indian Express). Når spywaren først er aktiv, kan den få adgang til beskeder, kontakter og lokalitetsdata og tænde mikrofon eller kamera (Al Jazeera).

I den periode arbejdede Kouloglou med udvalgets koordinering mellem Athen og Bruxelles, kommunikerede med kolleger og kilder og håndterede udkast til rapporter (NDTV). Hvis telefonen var kompromitteret, kunne kontaktlister være blotlagt. Dermed kunne udvalgets netværk af whistleblowere og vidner også blive synligt for operatøren. Hvis rapportudkast var tilgængelige, kunne den, der bestilte overvågningen, læse udvalgets konklusioner, før de blev offentliggjort. Offentlig rapportering har ikke dokumenteret, hvad der eventuelt blev kopieret fra telefonen (The Guardian). Men når et udvalg, der undersøger spyware, ikke kan holde sine egne medlemmers telefoner rene, bliver dets uafhængighed svækket helt grundlæggende.

Citizen Lab knytter operationen til en tidligere dokumenteret Pegasus-kampagne mod eksilerede russisk- og belarusisktalende journalister og aktivister i Europa. Dermed rækker sagen ud over en snæver græsk indenrigspolitisk ramme (The Times of Israel). Forskerne peger ikke på en bestemt regering som gerningsmand. Der er heller ikke fremlagt beviser for, at Grækenland stod bag operationen (Al Jazeera).

Her ligger det strukturelle problem. Infektionen kan bevises. Ansvaret kræver dokumentation, som næsten aldrig dukker op frivilligt: offentlige indkøbsaftaler, serverlogfiler eller dommerkendelser, som efterretningstjenester ikke har pligt til at dele med udenlandske udvalg.

Spanien og Ungarn viser, hvad der sker efter afsløringen

Appeldomstolen i Barcelona har for nylig genåbnet Pegasus-sagen om catalanske politikere og beordret nye anmodninger om oplysninger fra Spaniens efterretningstjeneste, efter at en dommer havde ladet en appel ligge i to år (elDiario.es). Mønstret er velkendt: bekræftet infektion, omstridt ansvar og et retssystem, der bevæger sig langsomt.

Ungarn viser en anden version. Et højtstående parlamentsmedlem fra Fidesz har offentligt erkendt, at staten købte Pegasus, og databeskyttelsesmyndigheden undersøgte sagen. Den konkluderede, at den ikke fandt ulovlig adfærd. En stor del af begrundelsen er fortsat hemmeligstemplet (Portfolio). Formelt tilsyn uden offentlig gennemsigtighed giver formel afslutning uden offentlige svar.

Begge sager viser det samme, som Kouloglous telefon nu blotlægger på EU-niveau: Den tekniske efterforskning virker. Det politiske ansvar følger ikke med.

Værktøjerne findes, men ikke det afgørende

Europa-Parlamentet siger, at det siden 2022 har tilbudt MEP’er hjælp til at screene deres telefoner for spyware (European Parliament via upday). EU har vedtaget Cyber Resilience Act, der opstiller sikkerhedskrav til forbundne produkter, altså regler der skal gøre software og enheder sværere at bryde ind i (European Commission). Civilsamfundsgrupper har argumenteret for, at spyware-leverandører bør pålægges virksomhedsansvar, når deres værktøjer bruges mod journalister og politikere (Business & Human Rights Resource Centre).

De værktøjer lapper i kanten. Screening er reaktivt: Den finder infektioner bagefter. Produktsikkerhed gør telefoner sværere at hacke, men Pegasus er ikke et uheld skabt af dårlig teknik. Det er et værktøj, der misbruges af autoriserede købere. Eksportkontrol virker kun, hvis eksportlandet håndhæver reglerne. Ingen af delene viser, hvem der lagde ordren.

Kouloglous advokat har varslet retlige skridt i Grækenland og i udlandet (in.gr). MEP’er fra flere politiske grupper kræver bindende EU-tiltag mod ulovlig brug af spyware (The Times of Israel).

Det, der kan lukke hullet, er mere konkret: uafhængige tekniske laboratorier med grænseoverskridende mandat, håndhævelige gennemsigtighedskrav, der tvinger spywarefirmaer til at registrere, hvilken regering der har købt hvilken licens, og retligt samarbejde, der tager måneder frem for år. Indtil noget i den retning findes, gentager mønstret sig. Undersøgeren bliver målet. Og undersøgelsen fortsætter uden at vide, hvem der læser med.