Pegasus infekterade EU:s granskare

Stelios Kouloglou skulle granska andra. Den grekiske journalisten, som senare blev Europaparlamentariker, satt i PEGA, Europaparlamentets särskilda utredningsutskott om hur EU-länder hade använt kommersiella spionprogram mot egna medborgare. Utskottet kunde kalla tjänstemän, begära dokument och lägga fram rekommendationer. Det kunde däremot inte tvinga nationella underrättelsetjänster att samarbeta. Just den luckan blev till slut kärnan i frågan.

Enligt en ny rapport från Citizen Lab infekterades Kouloglous Iphone i tysthet omkring oktober 2022 av samma verktyg som han utredde: NSO Groups Pegasus (The Guardian, Le Monde). Intrånget upprepades i mars 2023, när utskottets arbete med sluttexterna var som mest intensivt. Minst en attack var så kallad zero-click: spionprogrammet utnyttjade en dold sårbarhet i Apples mjukvara som bolaget ännu inte hade upptäckt eller täppt till, och tog sig in i telefonen utan att ägaren behövde trycka på något (The Straits Times).

Europa kan ofta visa att en telefon har infekterats. Det är fortfarande betydligt svårare att visa vem som gav ordern. Det är den luckan som är den egentliga historien.

Vad en infekterad telefon betyder för ett utskott

Krypterade meddelanden fungerar ungefär som ett förseglat kuvert: appar som Signal skyddar innehållet medan det skickas. Pegasus försöker inte i första hand öppna kuvertet på vägen. Programmet placerar sig i rummet där brevet läses, efter att det har öppnats (Indian Express). När det väl är aktivt kan det komma åt meddelanden, kontakter och platsdata, och dessutom slå på mikrofon eller kamera (Al Jazeera).

Under den period då telefonen var infekterad samordnade Kouloglou utskottsarbete mellan Aten och Bryssel. Han hade kontakt med kollegor och källor och hanterade utkast till rapporter (NDTV). Kedjan är enkel: en komprometterad telefon kan röja kontaktlistor, vilket gör nätverket av visselblåsare och vittnen synligt för den som styr övervakningen. Om rapportutkast exponerades kunde beställaren läsa utskottets slutsatser innan de blev offentliga. Det har inte rapporterats offentligt vad som faktiskt kopierades från telefonen, om något alls (The Guardian). Men om det organ som utreder spionprogram inte kan skydda sina egna ledamöters telefoner försvagas oberoendet redan vid källan.

Citizen Lab kopplar operationen till en tidigare dokumenterad Pegasus-kampanj mot rysk- och belarusisktalande journalister och aktivister i exil i Europa. Därmed blir fallet bredare än en grekisk inrikespolitisk fråga (The Times of Israel). Forskarna pekar inte ut någon specifik regering. Det finns inte heller några belägg för att Grekland var operatör (Al Jazeera).

Det är det strukturella problemet. Infektionen kan bevisas. Ansvarsfrågan kräver underlag som nästan aldrig lämnas ut frivilligt: statliga inköpsavtal, serverloggar eller domstolsbeslut som underrättelsetjänster inte är skyldiga att dela med utländska utskott.

Spanien och Ungern visar vad som händer efter upptäckten

En appellationsdomstol i Barcelona har nyligen öppnat Pegasus-fallet om katalanska politiker på nytt. Domstolen begär nya uppgifter från Spaniens underrättelsetjänst, efter att en domare hade låtit ett överklagande ligga i två år (elDiario.es). Mönstret är bekant: bekräftad infektion, omstridd ansvarskedja och domstolar som rör sig långsamt.

Ungern visar en annan sida av samma problem. En högt uppsatt parlamentariker från Fidesz har offentligt medgett att staten köpt Pegasus, och dataskyddsmyndigheten har utrett saken. Slutsatsen blev att myndigheten inte fann något olagligt agerande. Stora delar av motiveringen är fortfarande sekretessbelagda (Portfolio). Formell granskning utan offentlig insyn ger formellt avslut utan offentliga svar.

Båda fallen visar samma sak som Kouloglous infekterade telefon nu gör på EU-nivå: den tekniska bevisningen fungerar. Det politiska ansvarsutkrävandet gör det inte.

Verktygen som finns och det som saknas

Europaparlamentet uppger att det sedan 2022 erbjuder ledamöter stöd för att kontrollera telefoner mot spionprogram (European Parliament via upday). EU har antagit Cyber Resilience Act, en förordning som sätter säkerhetskrav för uppkopplade produkter och därmed ska göra mjukvara och apparater svårare att angripa (European Commission). Civilsamhällesorganisationer har också argumenterat för att spionprogramsbolag bör omfattas av tydligare företagsansvar när deras verktyg används mot journalister och folkvalda (Business & Human Rights Resource Centre).

Detta angriper problemets kanter. Telefongranskning är reaktiv: den hittar intrång efteråt. Produktsäkerhetsregler gör enheter svårare att hacka, men Pegasus är inte en följd av slarvig ingenjörskonst. Det är ett verktyg som missbrukas av köpare med formell behörighet. Exportkontroller bygger på att exportlandet faktiskt tillämpar dem. Inget av detta visar vem som lade beställningen.

Kouloglous advokat har aviserat rättsliga åtgärder i Grekland och utomlands (in.gr). Europaparlamentariker från flera politiska grupper kräver bindande EU-åtgärder mot olaglig användning av spionprogram (The Times of Israel).

Det som skulle minska luckan är oberoende tekniska laboratorier med gränsöverskridande mandat, tvingande transparensregler som får spionprogramsbolag att logga vilken regering som köpt vilken licens, och rättsligt samarbete som mäts i månader snarare än år. Utan något sådant kommer mönstret att upprepas. Utredaren blir målet, och utredningen fortsätter utan att veta vem som läser med.