NSO e il Parlamento europeo: Pegasus ha colpito chi lo indagava

Nel marzo 2022 il Parlamento europeo istituisce una commissione d’inchiesta sull’uso improprio di Pegasus e degli spyware equivalenti in Europa. Tra i suoi membri supplenti siede Stelios Kouloglou, eurodeputato greco ed ex giornalista d’inchiesta. Mentre la commissione lavora, il suo iPhone viene infettato — almeno due volte — proprio con Pegasus, lo spyware di NSO Group che quella commissione era chiamata a indagare. Lo rivela, il 2 luglio 2026, un’analisi forense del Citizen Lab dell’Università di Toronto: la conferma, dopo il verdetto da 167 milioni di dollari contro NSO nel caso WhatsApp, che nemmeno chi scrive le regole sullo spyware ne è al riparo.

I fatti, in ordine

• 24 marzo 2022 – 18 luglio 2023: Kouloglou siede come membro supplente della PEGA, la Commissione d’inchiesta del Parlamento europeo su Pegasus e spyware equivalenti, istituita dopo lo scandalo Pegasus Project del 2021 e un caso di intercettazioni illegali emerso in Grecia. La commissione ascolta oltre 215 persone e visita Israele, Polonia, Grecia, Cipro, Ungheria e Spagna.
• 21 ottobre 2022: il suo iPhone, con iOS 15.5, viene infettato con Pegasus tramite una vulnerabilità zero-click nel software HomeKit di Apple — un attacco che non richiede alcuna azione della vittima.
• 2 marzo 2023: Apple invia a Kouloglou la prima di tre notifiche di minaccia da «attaccante sponsorizzato da uno Stato».
• 6-7 marzo 2023: quattro giorni dopo quella notifica, una seconda infezione colpisce il dispositivo mentre Kouloglou si trova a Bruxelles.
• 15 giugno 2023: la plenaria del Parlamento europeo adotta, con 411 voti a favore, 97 contrari e 37 astensioni, la raccomandazione finale della commissione PEGA: regole comuni contro l’abuso di spyware, controlli più severi sull’export, tutele per le vittime.
• 29 agosto 2023 e 10 aprile 2024: arrivano la seconda e la terza notifica Apple, mesi dopo l’ultima infezione nota.
• Maggio 2026: Kouloglou chiede al Citizen Lab di analizzare il proprio dispositivo.
• 2 luglio 2026: il Citizen Lab pubblica il rapporto «Espionage Against the European Parliament»: conferma le infezioni, esclude — «nessuna prova» — il coinvolgimento del governo greco, e segnala che l’infrastruttura email usata si sovrappone a una campagna contro giornalisti e attivisti russi e bielorussi esuli in Europa. Il cliente NSO responsabile aveva l’autorizzazione a operare in più paesi europei, ma resta senza nome.
• 6 luglio 2026: 48 organizzazioni della società civile e 3 esperti indipendenti — tra cui Amnesty International e lo stesso Citizen Lab — firmano una dichiarazione congiunta che chiede un’indagine indipendente, una risposta «senza ulteriori ritardi» della Commissione europea alle raccomandazioni PEGA e un’applicazione più severa del regolamento dual-use (UE) 2021/821, con valutazione d’impatto sui diritti fondamentali.
• Le reazioni: l’eurodeputata tedesca Hannah Neumann, membro della PEGA, dichiara che «lo spyware non rende le democrazie più sicure»; Rand Hammoud, del Center for Democracy and Technology Europe, parla di un fallimento strutturale nel controllo della sorveglianza commerciale. Kouloglou annuncia l’intenzione di fare causa a NSO Group.
• Le non risposte: NSO Group non commenta. La Commissione europea non risponde. Apple conferma solo di aver corretto la vulnerabilità segnalata nel rapporto.

Sui fatti tecnici non c’è contestazione: le infezioni sono confermate da un laboratorio forense indipendente, e gli stessi indicatori compaiono già in altre campagne europee. Il nodo è un altro: un’istituzione che indaga sullo spyware da tre anni non è ancora riuscita a impedire che lo spyware colpisse proprio chi la componeva.

Lezione n. 1: chi controlla la sorveglianza diventa bersaglio della sorveglianza

Non è un caso isolato. Nel 2023 le «Predator Files» avevano già rivelato che perfino la presidente del Parlamento europeo, Roberta Metsola, era stata presa di mira dallo spyware Predator; quattro eurodeputati catalani erano stati colpiti da Pegasus negli anni precedenti. Il caso Kouloglou conferma un principio valido per qualunque organizzazione con una funzione di controllo — compliance, audit interno, relazioni con le autorità, canali di segnalazione: chi supervisiona un rischio ne diventa esso stesso un bersaglio a valore aggiunto. La sicurezza dei dispositivi di chi svolge queste funzioni non può essere quella standard aziendale: va trattata come infrastruttura critica a sé, proprio perché è il ruolo, non solo il contenuto, a renderli bersagli. È lo stesso principio che guida il nostro approccio alla progettazione di architetture dati e AI per funzioni sensibili: partire da chi sarà preso di mira, non solo da cosa va protetto.

Lezione n. 2: una notifica arrivata dopo non è una difesa, è un referto

Apple ha avvisato Kouloglou tre volte. Sempre dopo — e nel caso della seconda infezione, la notifica è arrivata appena quattro giorni prima che il dispositivo venisse colpito di nuovo. È il limite di ogni sistema di allerta basato sul rilevamento a posteriori: utile per la ricostruzione forense, inutile per impedire il danno mentre accade. Per un’organizzazione che tratta dati sensibili — negoziali, industriali, di sicurezza nazionale — affidarsi alle sole notifiche del fornitore di sistema operativo come unico presidio è un errore di progettazione. Servono monitoraggio comportamentale continuo sui dispositivi ad alto rischio e piani di risposta che non partano dal presupposto di essere avvisati in tempo.

Lezione n. 3: tre anni di raccomandazioni inattuate mostrano che il controllo dual-use scritto sulla carta non basta

La commissione PEGA aveva chiesto, nel giugno 2023, regole comuni e un’applicazione più severa dei controlli sull’export di tecnologie a duplice uso. Tre anni dopo, la stessa infrastruttura di sorveglianza colpisce un membro della commissione che quelle regole le aveva scritte. Il regolamento dual-use dell’Unione — il Reg. (UE) 2021/821 — esiste già e vincola l’export di tecnologie di sorveglianza verso destinazioni a rischio per i diritti umani; il problema non è la norma, è la sua applicazione verificabile. Vale la stessa lezione già vista nei casi Cellebrite e Hikvision: una lista di clienti autorizzati non sostituisce un controllo tecnico verificabile su chi usa cosa, dove, e con quali vincoli reali. È il principio su cui costruiamo i nostri impegni di conformità dual-use: promessa architetturale, non sola dichiarazione contrattuale.

Cosa fare

1. Classificate come infrastruttura critica i dispositivi di chi svolge funzioni di controllo, compliance, audit o rapporti con le autorità — non solo quelli dei vertici aziendali.
2. Non affidatevi alle sole notifiche a posteriori dei fornitori: prevedete un monitoraggio comportamentale continuo sui dispositivi più esposti.
3. Se operate in ambiti dual-use, verificate con audit indipendenti l’osservanza delle restrizioni all’export — la parola del fornitore non è una prova.
4. Fate una valutazione d’impatto sui diritti prima di adottare strumenti di sorveglianza o intercettazione, anche quando il fornitore dichiara di vendere «solo ad acquirenti autorizzati».

Gestite dati sensibili, negoziali o di sicurezza e volete verificare quanto i vostri dispositivi critici sarebbero protetti da un attacco che nessuna notifica arriva in tempo a fermare? Mezz’ora con un nostro esperto per una prima mappa di rischi e presidi.

Fonti

• The Citizen Lab — Espionage Against the European Parliament: Member of Committee Investigating Spyware Hacked with Pegasus (2 luglio 2026)
• TechCrunch — Politician who investigated spyware abuses had his phone hacked with Pegasus spyware (2 luglio 2026)
• Amnesty International Security Lab — Joint Statement: Pegasus in the parliament, the EU must act now (6 luglio 2026)