Hanno bucato con Pegasus chi indagava su Pegasus
Parto da un dettaglio di calendario, perché è lì che il caso smette di essere un fatto di cronaca e diventa una struttura. Il primo attacco è arrivato pochi giorni prima delle audizioni. Il secondo mentre si discuteva la relazione finale.
Stelios Kouloglou, eurodeputato greco dal 2015 al 2024 e giornalista d'inchiesta, sedeva nella commissione PEGA, quella creata dal Parlamento europeo per indagare sugli abusi degli spyware commerciali. Tra ottobre 2022 e marzo 2023 il suo iPhone è stato infettato con Pegasus. Lo ha ricostruito Citizen Lab, che ha trovato anche le tracce di tre notifiche di minaccia di Apple che lui non ha mai ricevuto.
L'ispettore è finito sotto ispezione mentre scriveva il regolamento.
Non è un incidente, è un cliente
Stesso cliente Pegasus per entrambe le infezioni. Stessa email usata, tra agosto 2020 e gennaio 2023, contro sette giornalisti e oppositori di lingua russa e bielorussa. Quindi non un governo con un'ossessione per un parlamentare: un cliente con più teatri operativi, che trattava un eurodeputato come un bersaglio tra gli altri.
Chi sia, non lo sappiamo. Kouloglou pensa al governo greco, Citizen Lab dice di non avere elementi a sostegno. Io non ho niente da aggiungere e non fingo di averlo (l'attribuzione facile è il passatempo preferito di chi vende l'indignazione al chilo). Il punto non è il nome sul contratto, è che il contratto esisteva.
La formula che non regge
La promessa dei venditori di spyware è sempre la stessa: strumenti usati solo contro terroristi e criminali gravi. Funziona se esiste un lato che indaga e un lato indagato, e se il confine lo tiene qualcuno che non ha interesse a spostarlo.
Il caso PEGA dice il contrario. Il confine lo decide il cliente, e il cliente decide che "criminale" è anche chi sta scrivendo le regole per limitarlo. La categoria dei cattivi è elastica per definizione: si allunga fino a toccare chi disturba. Le raccomandazioni della commissione sono uscite a maggio 2023 e, a quanto risulta, la Commissione europea le ha in gran parte ignorate. Chi guarda i tempi può farsi un'idea di chi ha avuto più fretta.
Cosa sia stato letto sul telefono di Kouloglou, non lo sappiamo. Sappiamo quando.
La Serbia, a volume più alto
Se il caso europeo è una scena, quello serbo è un'inchiesta con i numeri. Almeno 14 persone prese di mira dall'inizio del 2026: studenti delle proteste, attivisti, un parlamentare dell'opposizione, un consigliere locale. Dodici hanno ricevuto in agosto le notifiche di minaccia di Apple, undici dispositivi sono considerati probabilmente infetti in attesa di conferma forense.
Gli strumenti sono due. Pegasus, arrivato con un exploit zero-click su iMessage (corretto in iOS 18.4.1), e NoviSpy, spyware di produzione locale, installato con strumenti Cellebrite mentre gli attivisti erano in stato di fermo. Il lavoro è di SHARE Foundation con Citizen Lab e Amnesty Tech, che parlano della più grande ondata di sorveglianza documentata nella storia del Paese. Il tempismo è quello di sempre: elezioni locali il 29 marzo, politiche in vista a ottobre.
Il dettaglio che mi resta addosso è l'altro, quello della stanza di fermo. Non serve nemmeno lo zero-click quando hai già il telefono in mano.
Perché conta, e per chi
Se ricevi una notifica di minaccia di Apple, non è un messaggio di marketing: spegni la curiosità, chiama chi sa fare analisi forense e attiva la Lockdown Mode. Non è un'indicazione per paranoici, è per chi fa un lavoro che qualcuno vorrebbe sapere in anticipo: giornalisti, avvocati, politici, attivisti, e anche chi sta semplicemente vicino a loro.
Ma la domanda grossa resta fuori dal telefono. Se chi scrive le regole sugli spyware viene spiato mentre le scrive, di quelle regole cosa resta?