--- title: "NSO e il Parlamento europeo: Pegasus ha colpito chi lo indagava" description: "Un membro della commissione UE su Pegasus è stato hackerato con Pegasus nel 2022-2023: il caso Kouloglou sui limiti reali del controllo europeo sullo spyware." url: https://csidia.com/note-operative/nso-pegasus-parlamento-europeo-kouloglou/ lang: it date: 2026-07-22 label: "Osservatorio" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/nso-pegasus-parlamento-europeo-kouloglou/ --- # NSO e il Parlamento europeo: Pegasus ha colpito chi lo indagava Nel marzo 2022 il Parlamento europeo istituisce una commissione d'inchiesta sull'uso improprio di **Pegasus** e degli spyware equivalenti in Europa. Tra i suoi membri supplenti siede **Stelios Kouloglou**, eurodeputato greco ed ex giornalista d'inchiesta. Mentre la commissione lavora, il suo iPhone viene infettato — almeno due volte — proprio con Pegasus, lo spyware di **NSO Group** che quella commissione era chiamata a indagare. Lo rivela, il 2 luglio 2026, un'analisi forense del **Citizen Lab** dell'Università di Toronto: la conferma, dopo [il verdetto da 167 milioni di dollari contro NSO](https://csidia.com/note-operative/nso-whatsapp-verdetto-pegasus) nel caso WhatsApp, che nemmeno chi scrive le regole sullo spyware ne è al riparo. ## I fatti, in ordine - **24 marzo 2022 – 18 luglio 2023**: Kouloglou siede come membro supplente della **PEGA**, la Commissione d'inchiesta del Parlamento europeo su Pegasus e spyware equivalenti, istituita dopo lo scandalo Pegasus Project del 2021 e un caso di intercettazioni illegali emerso in Grecia. La commissione ascolta oltre 215 persone e visita Israele, Polonia, Grecia, Cipro, Ungheria e Spagna. - **21 ottobre 2022**: il suo iPhone, con iOS 15.5, viene infettato con Pegasus tramite una vulnerabilità zero-click nel software HomeKit di Apple — un attacco che non richiede alcuna azione della vittima. - **2 marzo 2023**: Apple invia a Kouloglou la prima di tre notifiche di minaccia da «attaccante sponsorizzato da uno Stato». - **6-7 marzo 2023**: quattro giorni dopo quella notifica, una seconda infezione colpisce il dispositivo mentre Kouloglou si trova a Bruxelles. - **15 giugno 2023**: la plenaria del Parlamento europeo adotta, con 411 voti a favore, 97 contrari e 37 astensioni, la raccomandazione finale della commissione PEGA: regole comuni contro l'abuso di spyware, controlli più severi sull'export, tutele per le vittime. - **29 agosto 2023 e 10 aprile 2024**: arrivano la seconda e la terza notifica Apple, mesi dopo l'ultima infezione nota. - **Maggio 2026**: Kouloglou chiede al Citizen Lab di analizzare il proprio dispositivo. - **2 luglio 2026**: il Citizen Lab pubblica il rapporto «Espionage Against the European Parliament»: conferma le infezioni, esclude — «nessuna prova» — il coinvolgimento del governo greco, e segnala che l'infrastruttura email usata si sovrappone a una campagna contro giornalisti e attivisti russi e bielorussi esuli in Europa. Il cliente NSO responsabile aveva l'autorizzazione a operare in più paesi europei, ma resta senza nome. - **6 luglio 2026**: 48 organizzazioni della società civile e 3 esperti indipendenti — tra cui Amnesty International e lo stesso Citizen Lab — firmano una dichiarazione congiunta che chiede un'indagine indipendente, una risposta «senza ulteriori ritardi» della Commissione europea alle raccomandazioni PEGA e un'applicazione più severa del regolamento dual-use (UE) 2021/821, con valutazione d'impatto sui diritti fondamentali. - **Le reazioni**: l'eurodeputata tedesca Hannah Neumann, membro della PEGA, dichiara che «lo spyware non rende le democrazie più sicure»; Rand Hammoud, del Center for Democracy and Technology Europe, parla di un fallimento strutturale nel controllo della sorveglianza commerciale. Kouloglou annuncia l'intenzione di fare causa a NSO Group. - **Le non risposte**: NSO Group non commenta. La Commissione europea non risponde. Apple conferma solo di aver corretto la vulnerabilità segnalata nel rapporto. Sui fatti tecnici non c'è contestazione: le infezioni sono confermate da un laboratorio forense indipendente, e gli stessi indicatori compaiono già in altre campagne europee. Il nodo è un altro: un'istituzione che indaga sullo spyware da tre anni non è ancora riuscita a impedire che lo spyware colpisse proprio chi la componeva. ## Lezione n. 1: chi controlla la sorveglianza diventa bersaglio della sorveglianza Non è un caso isolato. Nel 2023 le «Predator Files» avevano già rivelato che perfino la presidente del Parlamento europeo, Roberta Metsola, era stata presa di mira dallo spyware Predator; quattro eurodeputati catalani erano stati colpiti da Pegasus negli anni precedenti. Il caso Kouloglou conferma un principio valido per qualunque organizzazione con una funzione di controllo — compliance, audit interno, relazioni con le autorità, canali di segnalazione: chi supervisiona un rischio ne diventa esso stesso un bersaglio a valore aggiunto. La sicurezza dei dispositivi di chi svolge queste funzioni non può essere quella standard aziendale: va trattata come infrastruttura critica a sé, proprio perché è il ruolo, non solo il contenuto, a renderli bersagli. È lo stesso principio che guida [il nostro approccio](https://csidia.com/approccio) alla progettazione di architetture dati e AI per funzioni sensibili: partire da chi sarà preso di mira, non solo da cosa va protetto. ## Lezione n. 2: una notifica arrivata dopo non è una difesa, è un referto Apple ha avvisato Kouloglou tre volte. Sempre dopo — e nel caso della seconda infezione, la notifica è arrivata appena quattro giorni prima che il dispositivo venisse colpito di nuovo. È il limite di ogni sistema di allerta basato sul rilevamento a posteriori: utile per la ricostruzione forense, inutile per impedire il danno mentre accade. Per un'organizzazione che tratta dati sensibili — negoziali, industriali, di sicurezza nazionale — affidarsi alle sole notifiche del fornitore di sistema operativo come unico presidio è un errore di progettazione. Servono monitoraggio comportamentale continuo sui dispositivi ad alto rischio e piani di risposta che non partano dal presupposto di essere avvisati in tempo. ## Lezione n. 3: tre anni di raccomandazioni inattuate mostrano che il controllo dual-use scritto sulla carta non basta La commissione PEGA aveva chiesto, nel giugno 2023, regole comuni e un'applicazione più severa dei controlli sull'export di tecnologie a duplice uso. Tre anni dopo, la stessa infrastruttura di sorveglianza colpisce un membro della commissione che quelle regole le aveva scritte. Il regolamento dual-use dell'Unione — il Reg. (UE) 2021/821 — esiste già e vincola l'export di tecnologie di sorveglianza verso destinazioni a rischio per i diritti umani; il problema non è la norma, è la sua applicazione verificabile. Vale la stessa lezione già vista nei casi [Cellebrite](https://csidia.com/note-operative/cellebrite-russia-contratto-rescisso) e [Hikvision](https://csidia.com/note-operative/hikvision-telecamere-ban-occidente): una lista di clienti autorizzati non sostituisce un controllo tecnico verificabile su chi usa cosa, dove, e con quali vincoli reali. È il principio su cui costruiamo i nostri impegni di [conformità dual-use](https://csidia.com/compliance): promessa architetturale, non sola dichiarazione contrattuale. ## Cosa fare 1. **Classificate come infrastruttura critica** i dispositivi di chi svolge funzioni di controllo, compliance, audit o rapporti con le autorità — non solo quelli dei vertici aziendali. 2. **Non affidatevi alle sole notifiche a posteriori** dei fornitori: prevedete un monitoraggio comportamentale continuo sui dispositivi più esposti. 3. **Se operate in ambiti dual-use**, verificate con audit indipendenti l'osservanza delle restrizioni all'export — la parola del fornitore non è una prova. 4. **Fate una valutazione d'impatto sui diritti** prima di adottare strumenti di sorveglianza o intercettazione, anche quando il fornitore dichiara di vendere «solo ad acquirenti autorizzati». *Gestite dati sensibili, negoziali o di sicurezza e volete verificare quanto i vostri dispositivi critici sarebbero protetti da un attacco che nessuna notifica arriva in tempo a fermare? [Mezz'ora con un nostro esperto](https://csidia.com/contatti) per una prima mappa di rischi e presidi.* ## Fonti - [The Citizen Lab — Espionage Against the European Parliament: Member of Committee Investigating Spyware Hacked with Pegasus (2 luglio 2026)](https://citizenlab.ca/research/member-of-committee-investigating-spyware-hacked-with-pegasus/) - [TechCrunch — Politician who investigated spyware abuses had his phone hacked with Pegasus spyware (2 luglio 2026)](https://techcrunch.com/2026/07/02/politician-who-investigated-spyware-abuses-had-his-phone-hacked-with-pegasus-spyware/) - [Amnesty International Security Lab — Joint Statement: Pegasus in the parliament, the EU must act now (6 luglio 2026)](https://securitylab.amnesty.org/latest/2026/07/joint-statement-pegasus-in-the-parliament-the-eu-must-act-now/) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/nso-pegasus-parlamento-europeo-kouloglou/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com