페가수스 스파이웨어 조사위원도 감시당했다

시티즌랩 조사 주요 내용:

• 두 차례 감염 확인: 2022년 10월과 2023년 3월에 감염되었으며, 두 시점 모두 PEGA 위원회 활동의 중요한 시기와 일치합니다 . 세 번째 감염 가능성도 포착됐습니다.
• 사용자 상호작용 없이도 감염되는 **제로클릭 익스플로잇 체인(PWNYOURHOME)**이 사용됐습니다 .
• 쿨로글루의 아이폰은 아테네와 브뤼셀에서 감염됐으며, 스파이웨어는 비공개 위원회 정보, 통신 내용, 의회 특권 자료 등을 유출했을 것으로 보입니다 .
• 시티즌랩은 특정 정부 행위자를 범인으로 단정하지는 않았지만, 페가수스는 정부 고객에게만 독점 판매된다는 점을 지적했습니다 .
• 이번 사례는 PEGA 위원회 위원이 페가수스의 표적이 된 것으로 공개 확인된 첫 번째 사례입니다 .

시민사회의 반응

시티즌랩 보고서 발표 직후인 7월 6일, **CDT 유럽(CDT Europe)**이 주도하는 시민사회 연합이 공동 성명을 발표하며 EU의 긴급 조치를 촉구했습니다 . 주요 요구 사항은 다음과 같습니다.

• 유럽의회 IT 부서(DG ITEC)는 쿨로글루 기기 해킹에 대한 완전하고 독립적이며 공정한 조사를 실시해야 합니다 .
• EU는 PEGA 위원회 권고안이 나온 지 약 3년이 지났지만 여전히 부재한, 상업용 스파이웨어의 확산과 남용을 막을 실질적이고 EU 전역에 적용되는 규제 대응을 마련해야 합니다 .
• 독립적인 감독 메커니즘을 강화하고 기본권 보호 조치를 시행해야 합니다 .

한편, 2026년 2월 **유럽 데이터 보호 위원회(EDPB)**는 스파이웨어 남용 사례에 관한 시민사회 공개 서한에 공식 답변하며 제도적 차원의 관여를 표명했습니다 .

EU 제도권의 대응

• PEGA 위원회 조사 (2022~2023년): 위원회는 광범위한 청문회를 열고 여러 회원국을 방문했으며, 2023년 6월 국가별 문제점을 지적하고 EU 차원의 스파이웨어 감시 기준을 제안한 최종 권고안을 채택했습니다 . 유럽의회 본회의는 2023년 6월 이 권고안을 승인했습니다 .
• 유럽 검찰청(EPPO): 2024년, EPPO는 쿨로글루 본인의 요청에 따라 그리스 '프레데터게이트(Predatorgate)' 스캔들에 대한 조사에 착수했습니다 .
• 2025년 6월 의회 토론: 'PEGA 권고안 발표 2년 후 상황과 후속 조치'에 관한 공식 토론에서 다수의 유럽의회 의원들은 **유럽 집행위원회가 스파이웨어 규제에 관한 결정적인 조치를 '완전히 이행하지 못했다'**고 비판했습니다 .
• EU 차원의 정책: EU는 스파이웨어에 대한 수출 통제와 조달 제한을 강화하는 방향으로 움직이고 있지만, 포괄적인 입법은 아직 완료되지 않았습니다 .

결론: 쿨로글루 사건은 2025년 9월 이스라엘인 2명과 그리스인 2명에 대한 재판이 시작된 그리스 '프레데터게이트' 스캔들과 맞물리면서 , EU 기관들이 권고안 단계를 넘어 구속력 있는 규제로 나아가야 한다는 압력을 거세게 만들고 있습니다. 시민사회는 만연한 시스템적 남용에 대한 증거가 쌓여가고 있음에도 개혁을 위한 정치적 의지가 정체되어 있다고 경고합니다.