Pegasus infetou investigador da UE

Stelios Kouloglou devia estar do lado de quem fazia as perguntas. Jornalista grego antes de chegar ao Parlamento Europeu, integrou a comissão PEGA, criada para apurar de que forma governos da União Europeia estavam a usar programas comerciais de espionagem contra os seus próprios cidadãos. A comissão podia convocar responsáveis, pedir documentos e aprovar recomendações. Não podia obrigar os serviços nacionais de informações a cooperar. É nessa falha que a história se torna política.

Por volta de outubro de 2022, segundo um novo relatório do Citizen Lab, o iPhone de Kouloglou foi infectado em silêncio pelo próprio instrumento que estava a investigar: o Pegasus, da empresa israelita NSO Group (The Guardian, Le Monde). A intrusão voltou a ocorrer em março de 2023, quando a comissão atravessava a fase mais intensa de redação do seu relatório. Pelo menos um dos ataques terá sido de tipo “zero-click”: o spyware explorou uma falha escondida no software da Apple, ainda desconhecida e por corrigir, e entrou no aparelho sem que o utilizador tivesse de carregar em qualquer ligação (The Straits Times).

A Europa consegue muitas vezes provar que um telefone foi infectado. Continua, porém, a ter dificuldade em provar quem deu a ordem. É essa distância entre a perícia técnica e a responsabilização política que este caso expõe.

O que significa um telefone infectado para uma comissão parlamentar

Uma mensagem cifrada funciona como uma carta fechada: aplicações como o Signal protegem-na enquanto viaja. O Pegasus não tenta abrir o envelope durante o transporte. Instala-se na sala onde a carta é lida, depois de aberta (Indian Express). Uma vez activo, pode aceder a mensagens, contactos e dados de localização, além de ligar o microfone ou a câmara do aparelho (Al Jazeera).

Durante o período da infecção, Kouloglou coordenava trabalho da comissão entre Atenas e Bruxelas, comunicava com colegas e fontes e lidava com versões preliminares de relatórios (NDTV). A sequência é simples: se o telefone fica comprometido, as listas de contactos podem ficar expostas; se isso acontece, a rede de denunciantes e testemunhas da comissão torna-se visível para quem operou o spyware. Se os rascunhos dos relatórios ficaram acessíveis, quem ordenou a vigilância pôde conhecer as conclusões antes de serem publicadas. A informação disponível não demonstra o que foi, ou não, copiado do aparelho (The Guardian). Mas se o órgão encarregado de investigar o spyware não consegue proteger os dispositivos dos seus próprios membros, a sua independência fica fragilizada à partida.

O Citizen Lab associou a operação a uma campanha Pegasus já documentada contra jornalistas e activistas russófonos e bielorrussos exilados na Europa, o que alarga o caso para além de uma leitura estritamente grega (The Times of Israel). Os investigadores não atribuíram o ataque a nenhum governo concreto. Não há provas que apontem para a Grécia como operador (Al Jazeera).

É aqui que reside o problema estrutural. A infecção pode ser demonstrada. A atribuição exige elementos que quase nunca aparecem voluntariamente: contratos públicos, registos de servidores ou mandados judiciais que os serviços de informações não têm obrigação de entregar a comissões estrangeiras.

Espanha e Hungria mostram o que acontece depois da descoberta

O tribunal de recurso de Barcelona reabriu recentemente o caso Pegasus que envolve políticos catalães, ordenando novos pedidos de informação aos serviços de informações espanhóis, depois de um juiz ter deixado parado durante dois anos um recurso sobre o arquivamento inicial (elDiario.es). Há infecção confirmada, atribuição contestada e tribunais a moverem-se lentamente.

A Hungria oferece uma lição diferente. Um deputado sénior do Fidesz reconheceu publicamente que o Estado tinha adquirido o Pegasus, e a autoridade de protecção de dados investigou o caso, mas concluiu não ter encontrado conduta ilegal. Grande parte da fundamentação permanece classificada (Portfolio). A fiscalização formal, sem transparência pública, produz encerramento formal, mas não respostas públicas.

Os dois casos apontam para a mesma conclusão que a infecção de Kouloglou agora coloca no plano europeu: a análise técnica funciona. A responsabilização política não acompanha.

As ferramentas que existem e a que falta

O Parlamento Europeu afirma disponibilizar, desde 2022, apoio aos eurodeputados para detectar spyware nos seus dispositivos (European Parliament via upday). A União Europeia aprovou o Regulamento Ciber-Resiliência, que define normas de segurança para produtos conectados, ou seja, regras destinadas a tornar software e aparelhos mais difíceis de comprometer (European Commission). Organizações da sociedade civil defendem que os fornecedores de spyware devem estar sujeitos a obrigações de responsabilidade empresarial quando as suas ferramentas são usadas contra jornalistas e responsáveis políticos (Business & Human Rights Resource Centre).

Estas respostas tratam as margens do problema. O rastreio é reactivo: encontra infecções depois de acontecerem. As regras de segurança dos produtos dificultam intrusões, mas o Pegasus não é um acidente de má engenharia. É uma ferramenta concebida para ser usada por compradores autorizados, e o abuso nasce precisamente desse uso. Os controlos de exportação pressupõem que o país exportador os aplica. Nenhum destes instrumentos revela quem fez a encomenda.

O advogado de Kouloglou anunciou acções legais na Grécia e no estrangeiro (in.gr). Eurodeputados de vários grupos políticos exigiram medidas vinculativas da UE contra o uso ilegal de spyware (The Times of Israel).

Fechar a falha exigiria laboratórios forenses independentes com autoridade transfronteiriça, regras de transparência que obrigassem os vendedores de spyware a registar que governo comprou que licença, e cooperação judicial que avançasse em meses, não em anos. Enquanto algo desse tipo não existir, o padrão tenderá a repetir-se: o investigador torna-se alvo, e a investigação prossegue sem saber quem está a ler por cima do ombro.