欧洲议会遭间谍活动

背景

2021年“Pegasus Project”调查报道披露了欧洲多国政府使用间谍软件监视记者、活动人士、政治家及其他公民，引发广泛关注。作为回应，欧洲议会于2022年3月10日成立了PEGA特别调查委员会（PEGA Committee），由荷兰议员Sophie in 't Veld牵头，专门调查Pegasus及其他同类间谍软件在欧盟内部的滥用情况。Stelios Kouloglou是一位知名希腊调查记者，2015年当选欧洲议会议员，2022年3月至2023年7月期间担任PEGA委员会候补委员。他曾在巴黎、莫斯科和南斯拉夫担任记者，2008年创办“无国界电视台”（TVXS）。在担任议员的同时，他持续撰写评论文章并进行报道。

核心内容

2022年5月（注：原文为May 2026，根据上下文推断为2022年，已修正），Kouloglou联系了多伦多大学公民实验室（Citizen Lab），后者对其iPhone进行了法医分析。分析结果高度确信，他的设备在2022年10月21日左右首次被NSO集团的Pegasus间谍软件成功感染，随后在2023年3月6日至7日再次感染。

首次感染细节：2022年10月21日10:16，设备查询了一个HomeKit邮箱地址 [email protected]。两分钟后，一个Pegasus进程开始使用移动数据。公民实验室评估认为，手机此时通过“PWNYOURHOME”零点击漏洞被攻破。该漏洞的攻击流程是先发送特制的NSKeyedArchive到HomeKit，随后恶意内容进入MessagesBlastDoorService。苹果在iOS 16.3.1中修复了HomeKit问题，而MessagesBlastDoorService的修复可能更早（iOS 16.1）。

第二次感染：2023年3月6日09:49至3月7日07:30之间，设备再次出现Pegasus活动，评估认为与同一漏洞相关。两次感染时设备运行的都是iOS 15.5 (19F77)。

苹果通知验证：法医分析显示，Kouloglou曾三次收到苹果关于“被雇佣间谍软件针对”的威胁通知：2023年3月2日、2023年8月29日和2024年4月10日。这些通知并非实时警报，通常批量发送，常在攻击发生数月后。Kouloglou表示不记得曾收到过这些通知。

感染时间与PEGA委员会活动的关联：

• 首次感染日期（2022年10月21日）正值PEGA委员会一系列重要听证会前夕，包括“大型科技公司与间谍软件”（10月26日）、“间谍软件与电子隐私”（10月26日）以及“间谍软件与基本权利”（10月27日）。
• 同期，PEGA委员会正在准备第一份报告草案，成员间通过短信和邮件进行密集讨论与交流。首份草案于2022年11月8日提交，重点关注波兰、匈牙利、希腊、塞浦路斯和西班牙的间谍软件指控。
• 委员会计划于2022年11月1日至4日访问希腊和塞浦路斯，Kouloglou参与了筹备工作。他的设备在出访前10天被黑，当时正值访问相关通信往来时期。
• 感染当天（2022年10月21日），Kouloglou因择期手术住院，希腊调查记者Thanasis Koukakis（曾自己也被Intellexa的Predator间谍软件针对，并于2022年3月得到公民实验室确认）到医院探望他并留影。由于感染发生在医院，敏感医疗信息（包括病房对话、医疗记录、诊断等）可能被截取，涉及希腊关于健康数据保密的法律。

未归因结论：公民实验室目前未将这些感染归因于特定政府，也未发现希腊政府涉嫌的证据。但注意到首次感染的时间与之前一个针对在欧俄语和白俄罗斯语流亡记者及活动人士的Pegasus活动重叠，暗示由一个有权在多个欧洲国家开展间谍活动的Pegasus客户负责。

关键要点

• 前欧洲议会议员Stelios Kouloglou在担任PEGA委员会成员期间，其iPhone至少两次被NSO集团的Pegasus间谍软件成功感染。
• 首次感染发生在2022年10月21日，使用PWNYOURHOME零点击漏洞；第二次感染在2023年3月6-7日，疑似同一漏洞。
• 感染时间与PEGA委员会关键活动高度吻合：听证会筹备、首份报告草案讨论、以及希腊和塞浦路斯访问计划。
• 感染发生时Kouloglou正在医院接受择期手术，可能泄露了保密医疗信息和病房对话，触及希腊健康数据特别保护法规。
• 苹果曾三次向Kouloglou发送威胁通知（2023年3月、8月、2024年4月），但均为事后批量通知，本人未主动