Pegasus colpisce chi indagava nell'UE

Stelios Kouloglou avrebbe dovuto fare domande, non diventare una prova vivente del problema. Giornalista greco passato al Parlamento europeo, sedeva in PEGA, la commissione d'inchiesta dell'Eurocamera incaricata di capire come i governi dell'UE stessero usando spyware commerciali contro i propri cittadini. La commissione poteva convocare funzionari, chiedere documenti, scrivere raccomandazioni. Non poteva però costringere i servizi di intelligence nazionali a collaborare. Ed è proprio in quella zona d'ombra che la vicenda ha preso forma.

Secondo un nuovo rapporto di Citizen Lab, intorno a ottobre 2022 l'iPhone di Kouloglou è stato violato in silenzio dallo stesso strumento che lui stava indagando: Pegasus, prodotto dal gruppo israeliano NSO (The Guardian, Le Monde). L'infezione si è ripetuta nel marzo 2023, mentre la commissione attraversava la fase più delicata di stesura del rapporto. Almeno uno degli attacchi è stato di tipo zero-click: lo spyware ha sfruttato una falla nascosta nel software di Apple, che l'azienda non aveva ancora individuato né corretto, entrando nel dispositivo senza che il proprietario toccasse nulla (The Straits Times).

In Europa si riesce spesso a dimostrare che un telefono è stato infettato. Molto più difficile è dimostrare chi abbia dato l'ordine. Questa distanza tra prova tecnica e responsabilità politica è il cuore della storia.

Che cosa significa un telefono infetto per una commissione

La messaggistica cifrata funziona come una busta sigillata: applicazioni come Signal proteggono la lettera mentre viaggia. Pegasus non prova a intercettare la busta lungo il percorso. Si installa nella stanza in cui la lettera viene letta, dopo che qualcuno l'ha aperta (Indian Express). Una volta attivo, può accedere a messaggi, contatti, dati di localizzazione e può accendere microfono o videocamera (Al Jazeera).

Nel periodo dell'infezione Kouloglou coordinava i lavori della commissione tra Atene e Bruxelles, comunicava con colleghi e fonti, gestiva bozze di rapporto (NDTV). La catena è semplice: se il telefono è compromesso, le liste dei contatti diventano accessibili; se le liste dei contatti sono accessibili, la rete di informatori e testimoni della commissione diventa visibile all'operatore; se le bozze dei rapporti finiscono esposte, chi ha ordinato la sorveglianza può leggere le conclusioni prima che vengano pubblicate. Le ricostruzioni finora disponibili non hanno dimostrato che cosa, eventualmente, sia stato copiato dal telefono (The Guardian). Ma se l'organo che indaga sugli spyware non riesce a proteggere i dispositivi dei propri membri, l'indipendenza dell'inchiesta viene colpita alla radice.

Citizen Lab ha collegato l'operazione a una campagna Pegasus già documentata contro giornalisti e attivisti russofoni e bielorussofoni in esilio in Europa, allargando il caso oltre il perimetro greco (The Times of Israel). I ricercatori non hanno attribuito l'attacco a un governo specifico. Nessuna prova indica la Grecia come operatore (Al Jazeera).

Qui sta il problema strutturale. L'infezione si dimostra. L'attribuzione richiede elementi che quasi mai emergono spontaneamente: ordini d'acquisto governativi, log dei server, mandati giudiziari che i servizi di intelligence non hanno alcun obbligo di consegnare a commissioni straniere.

Spagna e Ungheria mostrano che cosa accade dopo la scoperta

La corte d'appello di Barcellona ha riaperto di recente il caso Pegasus che riguarda politici catalani, ordinando nuove richieste di informazioni ai servizi di intelligence spagnoli dopo che un giudice aveva lasciato fermo per due anni un ricorso (elDiario.es). Infezione confermata, attribuzione contestata, giustizia lentissima.

L'Ungheria offre una lezione diversa. Un esponente di primo piano di Fidesz ha riconosciuto pubblicamente che lo Stato aveva acquistato Pegasus, e l'autorità per la protezione dei dati ha aperto un'indagine, salvo concludere di non aver trovato condotte illegali. Gran parte della motivazione resta classificata (Portfolio). Una verifica formale senza trasparenza pubblica produce una chiusura formale senza risposte pubbliche.

I due casi dicono la stessa cosa che ora l'infezione di Kouloglou porta al livello dell'UE: la forensics tecnica funziona. La responsabilità politica no.

Gli strumenti che esistono e quello che manca

Il Parlamento europeo afferma di offrire dal 2022 agli eurodeputati un servizio di controllo contro gli spyware (European Parliament via upday). L'UE ha approvato il Cyber Resilience Act, che introduce standard di sicurezza per i prodotti connessi, cioè regole pensate per rendere software e dispositivi più difficili da violare (European Commission). Organizzazioni della società civile sostengono che i fornitori di spyware debbano essere sottoposti a obblighi di responsabilità societaria quando i loro strumenti vengono usati contro giornalisti e parlamentari (Business & Human Rights Resource Centre).

Sono strumenti che intervengono ai margini del problema. Lo screening è reattivo: trova le infezioni dopo che sono avvenute. Le norme sulla sicurezza dei prodotti rendono i dispositivi più resistenti, ma Pegasus non nasce da un incidente di cattiva ingegneria. È l'abuso deliberato di uno strumento da parte di acquirenti autorizzati. I controlli sull'export presuppongono che il Paese esportatore li applichi davvero. Nessuno di questi meccanismi rivela chi abbia fatto partire l'ordine.

L'avvocato di Kouloglou ha annunciato azioni legali in Grecia e all'estero (in.gr). Eurodeputati di diversi gruppi politici hanno chiesto un intervento vincolante dell'UE contro l'uso illegale degli spyware (The Times of Israel).

Che cosa servirebbe per chiudere davvero la falla? Laboratori forensi indipendenti con poteri transfrontalieri. Regole di trasparenza applicabili, che obblighino i fornitori di spyware a registrare quale governo abbia comprato quale licenza. Cooperazione giudiziaria che si muova in mesi, non in anni. Finché qualcosa del genere non esisterà, lo schema continuerà a ripetersi. L'investigatore diventa bersaglio. E l'inchiesta procede senza sapere chi stia leggendo insieme a lui.