スパイウェア調査のEU議員自身が標的に―PEGA委員クルグル氏へのペガサス感染が明らかに

スパイウェア調査委員自身が標的に―クルグル氏へのペガサス感染の全容

2026年7月3日、トロント大学のCitizen Labが公開したフォレンジック報告書により、ギリシャ出身の元EU議員（2019～2024年在任）でジャーナリストでもあるステリオス・クルグル氏が、EU議会のPEGA委員会（ペガサスおよび類似スパイウェアの使用を調査するために設置された特別調査委員会）の委員を務めていた期間中、NSOグループのペガサススパイウェアに繰り返し感染していたことが明らかになりました。

Citizen Labの調査が示す事実

• 2回の感染が確定：2022年10月と2023年3月。いずれもPEGA委員会の活動が重要な局面を迎えていた時期と重なります。3回目の感染の可能性も指摘されています。
• ゼロクリック攻撃：「PWNYOURHOME」というコード名のエクスプロイトチェーンを用い、標的が何も操作しなくても感染が成立する手法でした。
• 感染場所：アテネとブリュッセル。これにより、スパイウェアが非公開の委員会情報、議員間の通信、議会特権の対象となる資料を取得した可能性が高いとみられています。
• 特定の政府との関係は未確定：Citizen Labは「今回の攻撃を特定の政府の仕業だと断定できない」としながらも、「ペガサスは政府機関にのみ販売される製品である」と指摘しています。
• 初めてのケース：PEGA委員会の委員がペガサスの標的になったことが公に確認されたのは今回が初めてです。

市民社会の反応

Citizen Labの報告から数日後の2026年7月6日、CDT Europeが中心となった市民団体の連合が共同声明を発表し、EUに緊急の行動を求めました。主な要求は以下の通りです。

• EU議会のIT部門DG ITECが、クルグル氏の端末へのハッキングについて完全で独立かつ公平な調査を実施すること。
• PEGA委員会の勧告から約3年が経過したにもかかわらず、EU全体としての実効性のある規制が整備されていない現状を打開すること。
• 独立した監視メカニズムを強化し、基本権の保護を確実にすること。

また、別の動きとして、2026年2月には**欧州データ保護委員会（EDPB）**が、EU域内でのスパイウェア乱用に関する市民団体の公開書簡に正式に返答しており、制度レベルでの関与も始まっています。

EU機関の対応

• PEGA委員会の調査（2022～2023年）：委員会は集中的な公聴会を開催し、複数の加盟国を訪問。2023年6月に最終勧告を採択し、各国ごとの問題点を特定するとともに、EU全体でのスパイウェア監視の基準を提案しました。この勧告は同月、欧州議会本会議で承認されています。
• 欧州検察庁（EPPO）の捜査：2024年、クルグル氏自身の要請を受け、EPPOがギリシャの「プレデターゲート」スキャンダルに関する捜査を開始しました。
• 2025年6月の議会討論：PEGA勧告から2年後のフォローアップを議題とした討論では、複数の議員が欧州委員会の対応を「完全な失敗」と断じ、スパイウェア規制への決断力の欠如を批判しました。
• EU全体の政策動向：EUはスパイウェアの輸出管理や調達制限を強化する方向で少しずつ動いてはいるものの、包括的な法律の制定には至っていません。

結論と今後の展望

クルグル氏への攻撃が明らかになったことで、EU機関は勧告の段階から法的拘束力のある規制へと移行するよう、かつてない圧力に直面しています。特に、ギリシャでは「プレデターゲート」事件に関連して2025年9月にイスラエル人2人とギリシャ人2人の計4人が起訴されるなど、EU域内でのスパイウェア乱用の実態が次々と明るみに出ています。市民団体は「改革への政治的意思が、明白な証拠の累積にもかかわらず停滞している」と警告しています。