欧洲议会间谍软件调查委员会成员遭飞马间谍软件攻击

公民实验室调查的关键发现：

• 两次确认感染分别发生在2022年10月和2023年3月，时间点均与PEGA委员会的关键行动期（如筹备听证会、出访调查和起草报告）高度重合 。此外，还检测到一次可能的第三次感染。
• 攻击使用了零点击漏洞利用链（代号PWNYOURHOME），这意味着被攻击者无需点击任何链接或执行任何操作即可被入侵 。
• 库洛格卢的手机在雅典和布鲁塞尔时均遭到入侵。攻击者极有可能获取了委员会的非公开信息、内部通信以及受议会特权保护的敏感材料 。
• 公民实验室无法最终确定此次攻击幕后主使的特定政府，但明确指出，飞马间谍软件的销售对象仅限于政府客户 。
• 这是首次公开确认有PEGA委员会成员成为飞马的攻击目标 。

公民社会组织的迅速回应

在公民实验室报告发布后仅数日，由CDT Europe牵头的一个公民社会组织联盟于2026年7月6日发表了一份联合声明，紧急呼吁欧盟采取行动 。核心诉求包括：

• 强制调查：要求欧洲议会IT部门（DG ITEC）对入侵事件进行全面、独立且公正的调查 。
• 立法监管：敦促欧盟尽快出台具有约束力的、覆盖全欧盟的间谍软件监管法规。声明指出，自PEGA委员会提出建议以来已近三年，欧盟在此方面进展缓慢 。
• 加强监督：必须强化独立的监督机制，并落实对基本权利的保护 。

此外，早在2026年2月，欧洲数据保护委员会（EDPB） 就已正式回复了一份关于欧盟内间谍软件滥用案件的公民社会组织公开信，显示机构层面已开始关注此问题 。

欧盟机构的回应与“未竟之路”

• PEGA委员会调查（2022-2023年）：该委员会曾举行广泛的听证会，并访问多个成员国。最终在2023年6月通过了最终建议报告，指出多个成员国的具体问题，并提议建立欧盟范围内的间谍软件监管标准 。该建议随后在欧洲议会全体会议上获得通过 。
• 欧洲检察院（EPPO）介入：2024年，EPPO应库洛格卢本人的请求，正式对希腊“捕食者门”（Predatorgate）丑闻展开调查 。
• 2025年6月议会辩论：在这一主题为“PEGA建议两年后的进展与后续工作”的正式辩论中，多名欧洲议会议员直言，欧盟委员会在间谍软件监管方面已**“彻底失败”**，未能采取果断行动 。
• 更广泛的欧盟政策：欧盟在收紧间谍软件出口管制和采购限制方面有所推进，但全面、综合性的立法仍未出台 。

结论： 库洛格卢案件——辅以平行推进的希腊“捕食者门”丑闻（2025年9月，两名以色列和两名希腊嫌疑人已因此案受审）——极大地加剧了欧盟机构的压力。公民社会组织警告称，尽管系统性滥用的证据仍在不断累积，但推动改革的政治意愿已经陷入停滞，欧盟必须从“建议”走向“具有法律约束力的监管”。

参考文献
European Parliament study on Pegasus (2022)
European Parliament briefing on PEGA (2023)
EPRS briefing on setting spyware standards (2024)
PEGA Committee draft report (2023)
European Parliament study on Pegasus and EU external relations (2023)
European Parliament resolution on PEGA (2023)
EDPB reply to civil society open letter (2026)
European Parliament question on Greek Predator exports (2023)
European Parliament press release on PEGA reforms (2023)
European Parliament debate record (June 2025)
BBC report on Greek spyware trial (2025)
Citizen Lab report (July 3, 2026)
Wired, The Hacker News, Tovima coverage (July 2026)
CDT Europe joint statement (July 6, 2026)
Euractiv exclusive on EPPO probe (2024)
RSF call on EU export controls (2025)