Belangrijkste feiten uit het Citizen Lab-onderzoek:

• Twee bevestigde infecties in oktober 2022 en maart 2023, samenvallend met cruciale perioden in het werk van de PEGA-commissie . Er is ook een mogelijke derde infectie gedetecteerd.
• De infecties maakten gebruik van een zero-click exploit-keten (codenaam PWNYOURHOME), waarvoor geen interactie van de gebruiker nodig was .
• De iPhone van Kouloglou werd gekraakt terwijl hij in Athene en Brussel verbleef. De spyware had waarschijnlijk toegang tot niet-openbare commissie-informatie, communicatie en parlementaire privileges .
• Citizen Lab kon de aanval niet definitief toeschrijven aan een specifieke overheid, maar wees erop dat Pegasus uitsluitend aan overheidsklanten wordt verkocht .
• Dit is de eerste keer dat een lid van de PEGA-commissie publiekelijk is geïdentificeerd als doelwit van Pegasus .

Reactie van burgerrechtenorganisaties

Binnen enkele dagen na het Citizen Lab-rapport publiceerde een coalitie van burgerrechtenorganisaties – gecoördineerd door CDT Europe – een gezamenlijke verklaring (gepubliceerd op 6 juli 2026) waarin wordt opgeroepen tot dringend EU-optreden . De belangrijkste eisen zijn:

• DG ITEC (de IT-afdeling van het Europees Parlement) moet een volledig, onafhankelijk en onpartijdig onderzoek uitvoeren naar de hack van het apparaat van Kouloglou .
• De EU moet eindelijk komen met een zinvolle, EU-brede regulerende aanpak van de proliferatie en het misbruik van commerciële spyware, iets dat al bijna drie jaar op zich laat wachten sinds de aanbevelingen van de PEGA-commissie .
• Onafhankelijk toezicht moet worden versterkt en de bescherming van grondrechten moet worden afgedwongen .

In februari 2026 reageerde de Europese Toezichthouder voor Gegevensbescherming (EDPB) formeel op een open brief van burgerrechtenorganisaties over spywaremisbruik in de EU, wat wijst op betrokkenheid op institutioneel niveau .

Reactie van de EU-instellingen

• PEGA-commissie (2022–2023): De commissie hield uitgebreide hoorzittingen, bracht bezoeken aan meerdere lidstaten en nam in juni 2023 een eindaanbeveling aan waarin landspecifieke tekortkomingen werden geïdentificeerd en EU-brede normen voor spywaretoezicht werden voorgesteld . Het Europees Parlement nam de aanbeveling in juni 2023 aan .
• Europees Openbaar Ministerie (EOM): In 2024 startte het EOM een onderzoek naar het Griekse ‘Predatorgate’-schandaal, op verzoek van Kouloglou zelf .
• Debat in het Europees Parlement (juni 2025): Tijdens een formeel debat over de ‘stand van zaken en follow-up twee jaar na de PEGA-aanbevelingen’ stelden meerdere Europarlementariërs dat de Europese Commissie ‘volledig had gefaald’ om beslissende maatregelen te nemen op het gebied van spyware .
• EU-beleid in bredere zin: De EU heeft stapsgewijs strengere exportcontroles en beperkingen op de inkoop van spyware ingevoerd, maar alomvattende wetgeving is nog steeds niet van kracht .

Conclusie: De zaak-Kouloglou – in combinatie met het parallelle Griekse ‘Predatorgate’-schandaal, waarbij vier personen (twee Israëliërs en twee Grieken) in september 2025 terechtstonden – heeft de druk op de EU-instellingen opgevoerd om over te gaan van aanbevelingen naar bindende regelgeving. Burgerrechtenorganisaties waarschuwen dat de politieke wil voor hervormingen is gestagneerd, ondanks het toenemende bewijs van systematisch misbruik.

Belangrijkste feiten uit het Citizen Lab-onderzoek:

• Twee bevestigde infecties in oktober 2022 en maart 2023, samenvallend met cruciale perioden in het werk van de PEGA-commissie . Er is ook een mogelijke derde infectie gedetecteerd.
• De infecties maakten gebruik van een zero-click exploit-keten (codenaam PWNYOURHOME), waarvoor geen interactie van de gebruiker nodig was .
• De iPhone van Kouloglou werd gekraakt terwijl hij in Athene en Brussel verbleef. De spyware had waarschijnlijk toegang tot niet-openbare commissie-informatie, communicatie en parlementaire privileges .
• Citizen Lab kon de aanval niet definitief toeschrijven aan een specifieke overheid, maar wees erop dat Pegasus uitsluitend aan overheidsklanten wordt verkocht .
• Dit is de eerste keer dat een lid van de PEGA-commissie publiekelijk is geïdentificeerd als doelwit van Pegasus .

Reactie van burgerrechtenorganisaties

Binnen enkele dagen na het Citizen Lab-rapport publiceerde een coalitie van burgerrechtenorganisaties – gecoördineerd door CDT Europe – een gezamenlijke verklaring (gepubliceerd op 6 juli 2026) waarin wordt opgeroepen tot dringend EU-optreden . De belangrijkste eisen zijn:

• DG ITEC (de IT-afdeling van het Europees Parlement) moet een volledig, onafhankelijk en onpartijdig onderzoek uitvoeren naar de hack van het apparaat van Kouloglou .
• De EU moet eindelijk komen met een zinvolle, EU-brede regulerende aanpak van de proliferatie en het misbruik van commerciële spyware, iets dat al bijna drie jaar op zich laat wachten sinds de aanbevelingen van de PEGA-commissie .
• Onafhankelijk toezicht moet worden versterkt en de bescherming van grondrechten moet worden afgedwongen .

In februari 2026 reageerde de Europese Toezichthouder voor Gegevensbescherming (EDPB) formeel op een open brief van burgerrechtenorganisaties over spywaremisbruik in de EU, wat wijst op betrokkenheid op institutioneel niveau .

Reactie van de EU-instellingen

• PEGA-commissie (2022–2023): De commissie hield uitgebreide hoorzittingen, bracht bezoeken aan meerdere lidstaten en nam in juni 2023 een eindaanbeveling aan waarin landspecifieke tekortkomingen werden geïdentificeerd en EU-brede normen voor spywaretoezicht werden voorgesteld . Het Europees Parlement nam de aanbeveling in juni 2023 aan .
• Europees Openbaar Ministerie (EOM): In 2024 startte het EOM een onderzoek naar het Griekse ‘Predatorgate’-schandaal, op verzoek van Kouloglou zelf .
• Debat in het Europees Parlement (juni 2025): Tijdens een formeel debat over de ‘stand van zaken en follow-up twee jaar na de PEGA-aanbevelingen’ stelden meerdere Europarlementariërs dat de Europese Commissie ‘volledig had gefaald’ om beslissende maatregelen te nemen op het gebied van spyware .
• EU-beleid in bredere zin: De EU heeft stapsgewijs strengere exportcontroles en beperkingen op de inkoop van spyware ingevoerd, maar alomvattende wetgeving is nog steeds niet van kracht .

Conclusie: De zaak-Kouloglou – in combinatie met het parallelle Griekse ‘Predatorgate’-schandaal, waarbij vier personen (twee Israëliërs en twee Grieken) in september 2025 terechtstonden – heeft de druk op de EU-instellingen opgevoerd om over te gaan van aanbevelingen naar bindende regelgeving. Burgerrechtenorganisaties waarschuwen dat de politieke wil voor hervormingen is gestagneerd, ondanks het toenemende bewijs van systematisch misbruik.