Tidligere EU-parlamentsmedlem hacket med Pegasus-spyware, mens han undersøgte overvågningsmisbrug

Afsløring: Stelios Kouloglou hacket med Pegasus, mens han undersøgte spywaremisbrug

Den 3. juli 2026 offentliggjorde University of Torontos Citizen Lab en rapport, der viser, at Stelios Kouloglou – en græsk undersøgende journalist og tidligere medlem af Europa-Parlamentet (2019–2024) – gentagne gange blev inficeret med NSO Groups Pegasus-spyware, mens han var medlem af PEGA-udvalget (parlamentets undersøgelsesudvalg for brug af Pegasus og lignende spionsoftware) .

Hovedpunkter fra Citizen Labs undersøgelse:

• To bekræftede infektioner skete i oktober 2022 og marts 2023, begge i perioder med intens aktivitet i PEGA-udvalget . En mulig tredje infektion blev også opdaget.
• Angrebene brugte en zero-click-udnyttelseskæde (med kodenavnet PWNYOURHOME), som ikke krævede nogen handling fra ofret .
• Kouloglous iPhone blev kompromitteret, mens han var i Athen og Bruxelles, og spywaren ville sandsynligvis have givet angriberne adgang til fortrolige oplysninger fra udvalgsarbejdet, herunder kommunikation og materiale omfattet af parlamentarisk immunitet .
• Citizen Lab kunne ikke endeligt fastslå, hvilken statslig aktør der stod bag, men understregede, at Pegasus kun sælges til statslige kunder .
• Det er første gang, at et medlem af PEGA-udvalget offentligt er blevet identificeret som et mål for Pegasus .

Reaktioner fra civilsamfundet

Kort efter Citizen Labs rapport offentliggjorde en koalition af civilsamfundsorganisationer – koordineret af CDT Europe – en fælles erklæring (6. juli 2026), der kræver akut handling fra EU . Deres vigtigste krav er:

• DG ITEC (Parlamentets IT-afdeling) skal gennemføre en fuld, uafhængig og upartisk undersøgelse af hacking af Kouloglous enhed .
• EU må endelig levere en meningsfuld, EU-dækkende regulering af kommerciel spyware, hvilket de påpeger har været fraværende i næsten tre år siden PEGA-udvalgets anbefalinger .
• Uafhængig kontrol skal styrkes, og beskyttelsen af grundlæggende rettigheder skal håndhæves .

I februar 2026 svarede Det Europæiske Databeskyttelsesråd (EDPB) formelt på et åbent brev fra civilsamfundet om spywaremisbrug i EU .

Reaktioner fra EU-institutionerne

• PEGA-udvalgets undersøgelse (2022–2023): Udvalget holdt omfattende høringer, besøgte flere medlemslande og vedtog i juni 2023 en endelig indstilling, der identificerede landespecifikke mangler og foreslog EU-dækkende standarder for spywareovervågning . Europa-Parlamentet vedtog indstillingen i juni 2023 .
• Den Europæiske Anklagemyndighed (EPPO): I 2024 indledte EPPO en undersøgelse af den græske 'Predatorgate'-skandale efter anmodning fra Kouloglou selv .
• Debat i parlamentet i juni 2025: I en debat om 'Status og opfølgning to år efter PEGA-anbefalingerne' udtalte flere medlemmer af Europa-Parlamentet, at Kommissionen 'totalt havde svigtet' med at handle på spywareområdet .
• Overordnet EU-politik: EU har langsomt skærpet eksportkontrol og begrænsninger for indkøb af spyware, men en samlet lovgivning er endnu ikke vedtaget .

Konklusion: Kouloglou-sagen – sammen med den græske 'Predatorgate'-skandale, hvor fire personer (to israelere og to grækere) kom for retten i september 2025 – har øget presset på EU-institutionerne for at gå fra anbefalinger til bindende regulering. Civilsamfundsorganisationer advarer om, at den politiske vilje til reform er gået i stå, på trods af stigende beviser for systematisk misbrug.