시티즌랩 조사 주요 내용:

• 두 차례 감염 확인: 2022년 10월과 2023년 3월에 감염되었으며, 두 시점 모두 PEGA 위원회 활동의 중요한 시기와 일치합니다 . 세 번째 감염 가능성도 포착됐습니다.
• 사용자 상호작용 없이도 감염되는 **제로클릭 익스플로잇 체인(PWNYOURHOME)**이 사용됐습니다 .
• 쿨로글루의 아이폰은 아테네와 브뤼셀에서 감염됐으며, 스파이웨어는 비공개 위원회 정보, 통신 내용, 의회 특권 자료 등을 유출했을 것으로 보입니다 .
• 시티즌랩은 특정 정부 행위자를 범인으로 단정하지는 않았지만, 페가수스는 정부 고객에게만 독점 판매된다는 점을 지적했습니다 .
• 이번 사례는 PEGA 위원회 위원이 페가수스의 표적이 된 것으로 공개 확인된 첫 번째 사례입니다 .

시민사회의 반응

시티즌랩 보고서 발표 직후인 7월 6일, **CDT 유럽(CDT Europe)**이 주도하는 시민사회 연합이 공동 성명을 발표하며 EU의 긴급 조치를 촉구했습니다 . 주요 요구 사항은 다음과 같습니다.

• 유럽의회 IT 부서(DG ITEC)는 쿨로글루 기기 해킹에 대한 완전하고 독립적이며 공정한 조사를 실시해야 합니다 .
• EU는 PEGA 위원회 권고안이 나온 지 약 3년이 지났지만 여전히 부재한, 상업용 스파이웨어의 확산과 남용을 막을 실질적이고 EU 전역에 적용되는 규제 대응을 마련해야 합니다 .
• 독립적인 감독 메커니즘을 강화하고 기본권 보호 조치를 시행해야 합니다 .

한편, 2026년 2월 **유럽 데이터 보호 위원회(EDPB)**는 스파이웨어 남용 사례에 관한 시민사회 공개 서한에 공식 답변하며 제도적 차원의 관여를 표명했습니다 .

EU 제도권의 대응

• PEGA 위원회 조사 (2022~2023년): 위원회는 광범위한 청문회를 열고 여러 회원국을 방문했으며, 2023년 6월 국가별 문제점을 지적하고 EU 차원의 스파이웨어 감시 기준을 제안한 최종 권고안을 채택했습니다 . 유럽의회 본회의는 2023년 6월 이 권고안을 승인했습니다 .
• 유럽 검찰청(EPPO): 2024년, EPPO는 쿨로글루 본인의 요청에 따라 그리스 '프레데터게이트(Predatorgate)' 스캔들에 대한 조사에 착수했습니다 .
• 2025년 6월 의회 토론: 'PEGA 권고안 발표 2년 후 상황과 후속 조치'에 관한 공식 토론에서 다수의 유럽의회 의원들은 **유럽 집행위원회가 스파이웨어 규제에 관한 결정적인 조치를 '완전히 이행하지 못했다'**고 비판했습니다 .
• EU 차원의 정책: EU는 스파이웨어에 대한 수출 통제와 조달 제한을 강화하는 방향으로 움직이고 있지만, 포괄적인 입법은 아직 완료되지 않았습니다 .

결론: 쿨로글루 사건은 2025년 9월 이스라엘인 2명과 그리스인 2명에 대한 재판이 시작된 그리스 '프레데터게이트' 스캔들과 맞물리면서 , EU 기관들이 권고안 단계를 넘어 구속력 있는 규제로 나아가야 한다는 압력을 거세게 만들고 있습니다. 시민사회는 만연한 시스템적 남용에 대한 증거가 쌓여가고 있음에도 개혁을 위한 정치적 의지가 정체되어 있다고 경고합니다.

시티즌랩 조사 주요 내용:

• 두 차례 감염 확인: 2022년 10월과 2023년 3월에 감염되었으며, 두 시점 모두 PEGA 위원회 활동의 중요한 시기와 일치합니다 . 세 번째 감염 가능성도 포착됐습니다.
• 사용자 상호작용 없이도 감염되는 **제로클릭 익스플로잇 체인(PWNYOURHOME)**이 사용됐습니다 .
• 쿨로글루의 아이폰은 아테네와 브뤼셀에서 감염됐으며, 스파이웨어는 비공개 위원회 정보, 통신 내용, 의회 특권 자료 등을 유출했을 것으로 보입니다 .
• 시티즌랩은 특정 정부 행위자를 범인으로 단정하지는 않았지만, 페가수스는 정부 고객에게만 독점 판매된다는 점을 지적했습니다 .
• 이번 사례는 PEGA 위원회 위원이 페가수스의 표적이 된 것으로 공개 확인된 첫 번째 사례입니다 .

시민사회의 반응

시티즌랩 보고서 발표 직후인 7월 6일, **CDT 유럽(CDT Europe)**이 주도하는 시민사회 연합이 공동 성명을 발표하며 EU의 긴급 조치를 촉구했습니다 . 주요 요구 사항은 다음과 같습니다.

• 유럽의회 IT 부서(DG ITEC)는 쿨로글루 기기 해킹에 대한 완전하고 독립적이며 공정한 조사를 실시해야 합니다 .
• EU는 PEGA 위원회 권고안이 나온 지 약 3년이 지났지만 여전히 부재한, 상업용 스파이웨어의 확산과 남용을 막을 실질적이고 EU 전역에 적용되는 규제 대응을 마련해야 합니다 .
• 독립적인 감독 메커니즘을 강화하고 기본권 보호 조치를 시행해야 합니다 .

한편, 2026년 2월 **유럽 데이터 보호 위원회(EDPB)**는 스파이웨어 남용 사례에 관한 시민사회 공개 서한에 공식 답변하며 제도적 차원의 관여를 표명했습니다 .

EU 제도권의 대응

• PEGA 위원회 조사 (2022~2023년): 위원회는 광범위한 청문회를 열고 여러 회원국을 방문했으며, 2023년 6월 국가별 문제점을 지적하고 EU 차원의 스파이웨어 감시 기준을 제안한 최종 권고안을 채택했습니다 . 유럽의회 본회의는 2023년 6월 이 권고안을 승인했습니다 .
• 유럽 검찰청(EPPO): 2024년, EPPO는 쿨로글루 본인의 요청에 따라 그리스 '프레데터게이트(Predatorgate)' 스캔들에 대한 조사에 착수했습니다 .
• 2025년 6월 의회 토론: 'PEGA 권고안 발표 2년 후 상황과 후속 조치'에 관한 공식 토론에서 다수의 유럽의회 의원들은 **유럽 집행위원회가 스파이웨어 규제에 관한 결정적인 조치를 '완전히 이행하지 못했다'**고 비판했습니다 .
• EU 차원의 정책: EU는 스파이웨어에 대한 수출 통제와 조달 제한을 강화하는 방향으로 움직이고 있지만, 포괄적인 입법은 아직 완료되지 않았습니다 .

결론: 쿨로글루 사건은 2025년 9월 이스라엘인 2명과 그리스인 2명에 대한 재판이 시작된 그리스 '프레데터게이트' 스캔들과 맞물리면서 , EU 기관들이 권고안 단계를 넘어 구속력 있는 규제로 나아가야 한다는 압력을 거세게 만들고 있습니다. 시민사회는 만연한 시스템적 남용에 대한 증거가 쌓여가고 있음에도 개혁을 위한 정치적 의지가 정체되어 있다고 경고합니다.