สะเทือน EU! นักการเมืองกรีซ-แกนนำสอบสวนสปายแวร์ ถูก Pegasus แฮกโทรศัพท์ขณะทำงานในคณะกรรมาธิการ PEGA

สปายแวร์เล่นงานผู้สืบสวน: สเตลิออส กูโลกู ตกเป็นเป้าขณะทำหน้าที่ในคณะกรรมาธิการ PEGA

เมื่อวันที่ 3 กรกฎาคม 2026 Citizen Lab แห่งมหาวิทยาลัยโตรอนโต ได้เผยแพร่รายงานนิติวิทยาศาสตร์ชิ้นสำคัญ ชี้ว่า สเตลิออส กูโลกู (Stelios Kouloglou) อดีตนักข่าวสืบสวนชาวกรีซ ซึ่งเคยดำรงตำแหน่งสมาชิกรัฐสภายุโรป (MEP) ระหว่างปี 2019–2024 ถูกโจมตีด้วยสปายแวร์ Pegasus ของบริษัท NSO Group ขณะที่เขาดำรงตำแหน่งสมาชิกสำรองในคณะกรรมาธิการ PEGA ซึ่งเป็นคณะกรรมาธิการวิสามัญที่ตั้งขึ้นเพื่อสอบสวนการใช้สปายแวร์ Pegasus และซอฟต์แวร์เฝ้าระวังที่คล้ายคลึงกันภายในสหภาพยุโรป

ข้อเท็จจริงสำคัญจากการสอบสวนของ Citizen Lab

• ยืนยันการติดมัลแวร์ 2 ครั้ง ในเดือนตุลาคม 2022 และเดือนมีนาคม 2023 ซึ่งตรงกับช่วงเวลาที่คณะกรรมาธิการ PEGA มีกิจกรรมและทำงานสำคัญ นอกจากนี้ยังตรวจพบการติดเชื้อครั้งที่สามที่อาจเกิดขึ้นได้
• การโจมตีใช้ ช่องโหว่ซีโร่คลิก (Zero-click) ซึ่งไม่จำเป็นต้องให้เหยื่อคลิกลิงก์ใดๆ มีชื่อรหัสว่า PWNYOURHOME ช่วยให้ผู้โจมตีสามารถติดตั้งสปายแวร์ได้โดยอัตโนมัติ
• โทรศัพท์ iPhone ของกูโลกูถูกเจาะระบบขณะที่เขาอยู่ใน กรุงเอเธนส์และบรัสเซลส์ ซึ่งทำให้สปายแวร์สามารถเข้าถึงข้อมูลที่ไม่เปิดเผยต่อสาธารณะของคณะกรรมาธิการ การสื่อสาร และเอกสารที่อยู่ภายใต้เอกสิทธิ์ของรัฐสภาได้
• แม้ Citizen Lab ไม่สามารถระบุได้อย่างชัดเจน ว่าภาครัฐใดเป็นผู้อยู่เบื้องหลัง แต่ชี้ให้เห็นว่า Pegasus เป็นซอฟต์แวร์ที่ให้สิทธิ์การใช้งานเฉพาะกับลูกค้าที่เป็นรัฐบาลเท่านั้น
• เหตุการณ์นี้ถือเป็น ครั้งแรกที่สมาชิกของคณะกรรมาธิการ PEGA ถูกเปิดเผยต่อสาธารณะว่าเป็นเป้าหมายของ Pegasus ขณะที่คณะทำงานอยู่

ปฏิกิริยาจากภาคประชาสังคม

ไม่กี่วันหลังจากรายงานของ Citizen Lab องค์กรภาคประชาสังคมที่ประสานงานโดย CDT Europe ได้ออก แถลงการณ์ร่วม (เผยแพร่เมื่อวันที่ 6 กรกฎาคม 2026) เรียกร้องให้สหภาพยุโรปดำเนินการอย่างเร่งด่วน ข้อเรียกร้องสำคัญ ได้แก่:

• DG ITEC (ฝ่ายเทคโนโลยีสารสนเทศของรัฐสภายุโรป) ต้องดำเนินการ สอบสวนอย่างเต็มรูปแบบ เป็นอิสระ และเป็นกลาง ต่อการแฮกอุปกรณ์ของกูโลกู เพื่อค้นหาผู้รับผิดชอบและข้อเท็จจริงทั้งหมด
• สหภาพยุโรปต้องส่งมอบ มาตรการกำกับดูแลที่มีความหมาย ทั้งในระดับภูมิภาค ต่อการแพร่กระจายและการใช้สปายแวร์เชิงพาณิชย์ในทางที่ผิด ซึ่งแทบไม่มีความคืบหน้าเลยในรอบเกือบสามปีนับตั้งแต่คณะกรรมาธิการ PEGA เสนอข้อแนะนำ
• ต้องเสริมสร้าง กลไกการกำกับดูแลที่เป็นอิสระ และบังคับใช้การคุ้มครองสิทธิขั้นพื้นฐาน

นอกจากนี้ ในเดือนกุมภาพันธ์ 2026 คณะกรรมการคุ้มครองข้อมูลส่วนบุคคลยุโรป (EDPB) ได้ตอบกลับจดหมายเปิดผนึกของภาคประชาสังคมเกี่ยวกับคดีละเมิดสปายแวร์ใน EU แสดงให้เห็นถึงการมีส่วนร่วมในระดับสถาบัน

ปฏิกิริยาจากสถาบันในสหภาพยุโรป

• การสอบสวนของคณะกรรมาธิการ PEGA (2022–2023): คณะกรรมการได้จัดให้มีการพิจารณาอย่างกว้างขวาง เดินทางเยือนหลายประเทศสมาชิก และในเดือนมิถุนายน 2023 ได้รับรองข้อเสนอแนะขั้นสุดท้าย ซึ่งชี้ให้เห็นถึงข้อบกพร่องเฉพาะของแต่ละประเทศ และเสนอมาตรฐานการกำกับดูแลสปายแวร์ทั่วทั้งสหภาพยุโรป รัฐสภายุโรปได้รับรองข้อเสนอแนะดังกล่าวในเดือนมิถุนายน 2023
• สำนักงานอัยการยุโรป (EPPO): ในปี 2024 EPPO ได้เริ่มการสอบสวนเรื่องอื้อฉาว 'Predatorgate' ในกรีซ หลังจากที่กูโลกูร้องขอด้วยตนเอง
• การอภิปรายในรัฐสภาเดือนมิถุนายน 2025: ในการอภิปรายอย่างเป็นทางการในหัวข้อ 'สถานะปัจจุบันและการติดตามผลสองปีหลังจากข้อเสนอแนะของ PEGA' ส.ส.ยุโรปหลายคนกล่าวว่า คณะกรรมาธิการยุโรป 'ล้มเหลวอย่างสิ้นเชิง' ในการดำเนินการอย่างเด็ดขาดเพื่อควบคุมสปายแวร์
• นโยบาย EU ในวงกว้าง: สหภาพยุโรปได้ค่อยๆ ปรับปรุงการควบคุมการส่งออกและข้อจำกัดในการจัดหาสปายแวร์ให้เข้มงวดขึ้น ถึงแม้ว่ายังไม่มีการออกกฎหมายที่ครอบคลุมทั้งหมด

บรรทัดล่าง: คดีกูโลกู ประกอบกับเรื่องอื้อฉาว 'Predatorgate' ในกรีซ ที่มีผู้ต้องหา 4 คน (ชาวอิสราเอล 2 คน และชาวกรีก 2 คน) ขึ้นศาลในเดือนกันยายน 2025 ได้เพิ่มแรงกดดันให้สถาบันต่างๆ ของสหภาพยุโรปต้องเปลี่ยนจากข้อเสนอแนะไปสู่กฎระเบียบที่มีผลผูกพัน โดยองค์กรภาคประชาสังคมเตือนว่าเจตจำนงทางการเมืองในการปฏิรูปหยุดชะงักลง แม้จะมีหลักฐานมากมายเกี่ยวกับการละเมิดอย่างเป็นระบบ