Een Griekse Europarlementariër die onder leiding van de Nederlandse Sophie In't Veld onderzoek deed naar het gebruik van Pegasus en andere spyware door Europese overheden is zelf twee keer via de Pegasus-spyware gehackt, waarbij de aanvallers mogelijk vertrouwelijke informatie over het onderzoek in handen hebben gekregen. Dat stelt het Canadese Citizen Lab op basis van eigen onderzoek. Citizen Lab is een onderdeel van de universiteit van Toronto dat onderzoek doet naar het gebruik van politieke macht in cyberspace. Ook doet het veel onderzoek naar het gebruik van spyware tegen activisten, journalisten en dissidenten.

Stelios Kouloglou, die van 24 maart 2022 tot 18 juli 2023 lid was van de commissie die onderzoek deed naar het spywaregebruik in de EU, nam afgelopen mei contact op met onderzoekers van Citizen Lab. Die ontdekten dat zijn iPhone rond 21 oktober 2022 en 6 maart 2023 geïnfecteerd werd met de Pegasus-spyware. Daarbij werd er vermoedelijk een zero-click-exploit gebruikt. Dit zijn exploits die gebruikmaken van kwetsbaarheden waarbij geen enkele interactie van gebruikers is vereist om een systeem te hacken.

In dit geval werd er gebruikgemaakt van een exploit die de onderzoekers PwnYourHome noemen. Het gaat hier om een 'tweetraps-exploit', waarbij het eerste deel misbruik maakt van de HomeKit-functionaliteit binnen iPhones, gevolgd door misbruik van een iMessage-proces. HomeKit is een framework van Apple waarmee gebruikers apparaten in hun huis kunnen bedienen, zoals lampen, deuren en thermostaten. Zelf wanneer gebruikers nog nooit van HomeKit hebben gebruikt kunnen ze via de exploit worden aangevallen. Apple kwam in 2023 met een oplossing voor de exploit.

Vermoedelijk werd de Europarlementariër in maart 2023 via dezelfde exploit gehackt. Hij draaide toen nog een kwetsbare iOS-versie, ook al had Apple updates al beschikbaar gemaakt. De onderzoekers merken op dat niet kan worden uitgesloten dat de telefoon van Kouloglou vaker gehackt is geweest. Vanwege de beperkingen van de beschikbare forensische data kan dit echter niet worden vastgesteld. Volgens Citizen Lab is het de eerste keer dat openbaar is geworden dat een lid van de commissie die onderzoek deed naar spyware zelf een slachtoffer van de Pegasus-spyware is geworden.

De onderzoekers noemen het verontrustend dat een commissielid is gehackt en stellen dat onduidelijk is of ook andere commissieleden slachtoffer zijn geworden. Daarnaast stellen de onderzoekers dat de inzet van Pegasus-spyware tijdens onderzoek van een commissie van het Europees Parlement aantoont dat dit soort spyware een ernstige bedreiging voor de integriteit van democratische processen vormt. Citizen Lab roept alle personen op die bij het onderzoek naar spyware in de EU betrokken waren om hun telefoons te laten controleren. Daarnaast moeten bedrijven zoals Apple die slachtoffers voor spyware-aanvallen waarschuwen hun waarschuwingen duidelijker maken. Kouloglou werd meerdere keren door Apple gewaarschuwd, maar zegt dat hij de waarschuwingen zich niet kan herinneren.

Pegasus is spyware waarmee het mogelijk is om slachtoffers via hun microfoon en camera te bespioneren en gesprekken en communicatie via WhatsApp, Gmail, Viber, Facebook, Telegram, Skype, WeChat en andere apps af te luisteren en onderscheppen, alsmede de locatie te bepalen. De Pegasus-spyware wordt al zeker sinds 2016 via allerlei kwetsbaarheden verspreid, waar op het moment van de aanval geen update voor beschikbaar is. Zo is er onder andere misbruik gemaakt van kwetsbaarheden in bijvoorbeeld iOS en iMessage, alsmede ook WhatsApp.