欧州議会に対するスパイ活動

スパイウェア調査委員会の委員が「ペガサス」によるハッキング被害に遭う

欧州議会元議員のステリオス・クーログロウStelios Kouloglouが、欧州における「ペガサス（Pegasus）」やその他のスパイウェアの悪用を調査していたPEGA委員会に所属していた期間中、「ペガサス」スパイウェアによるハッキング被害に遭っていたことが判明した。彼の端末のフォレンジック分析を通じて、攻撃者が機密文書や委員会の審議内容にアクセスできた可能性があることが分かった。

主な調査結果

• 元欧州議会議員のステリオス・クーログロウは、ペガサス・スパイウェアの悪用を調査する委員会に所属していた期間中、NSOグループのペガサス・スパイウェアによるハッキングを繰り返し受けていた。
• クーログルーは、PEGA委員会の活動が活発だった重要な時期に感染しており、スパイウェアは委員会の活動に関する非公開情報を収集していた可能性が高く、EU議会の機密保持および特権に関する枠組みに違反していた恐れがある。

• 私たちはこの感染を現時点で特定の政府の仕業とは断定しておらず、ギリシャ政府が関与しているという兆候も見つかっていない。その代わりに、最初の感染と、ヨーロッパ在住のロシア語およびベラルーシ語を話す亡命ジャーナリストや活動家を標的とした以前に特定されたペガサス・キャンペーンとの間に共通点が見られ、複数の欧州諸国でスパイ活動を行う権限を持つペガサスの顧客が関与している可能性が示唆される。

背景

ステリオス・クーログロウは、2015年に欧州議会議員に選出された、ギリシャを代表する調査報道ジャーナリストである。彼はパリ（1983-84年）、モスクワ（1989-93年）、ユーゴスラビア（1992-95年）から、ギリシャのラジオやテレビ向けに報道を行っていた。その後、2008年から「国境なきテレビ」（TVXS）を設立し、同局で報道活動を行った。

クーログロウは、シリザ党（左派系）の選挙名簿に独立候補として名を連ね、欧州議会議員に選出された。2019年の欧州議会選挙でも再選された。

クーログロウは、2022年3月24日から2023年7月18日まで、欧州議会の「ペガサスおよびそれに相当する監視スパイウェアの使用を調査する調査委員会」（PEGA委員会）の補欠委員を務めた。

PEGA委員会は、2021年にペガサス・プロジェクトが公表され、欧州各国政府がスパイウェアを用いてジャーナリスト、活動家、政治家、その他の市民を監視していたことが明らかになったことを受け、2022年3月10日に設置された。欧州議会議員ソフィー・イン・ト・フェルトが率いるPEGA委員会は、「ペガサスおよび同等の監視用スパイウェア」に焦点を当て、EU法に違反するスパイウェアの使用範囲を調査する任務を負った。

欧州議会議員在任中、クーログロウは引き続きTVXS向けに論説を執筆し、報道活動を続けた。彼は2023年10月にシリザ党を離党し、2024年6月の選挙までは無所属として在任し、その後はニュー・レフト党の議員を務めた。彼の議員任期は2024年7月に終了した。

クーログロウ、ペガサス・スパイウェアに感染

2026年5月、クーログロウはCitizen Labに接触し、私たちは彼のiPhoneから回収した証拠資料のフォレンジック分析を実施した。その結果、彼の端末が2022年10月21日頃、および2023年3月6日と7日に、ペガサス・スパイウェアに感染していたことを高い確信を持って確認した。

2022年10月21日10時16分、HomeKitのメールアドレスrauharepo888 [@]gmail.comに対する照会が行われた。2分後、ペガサスのあるプロセスによってモバイルデータが使用された。この時点で、私たちはこの携帯電話がPWNYOURHOMEというゼロクリック型エクスプロイトによってハッキングされたと判断している。PWNYOURHOMEでは、まず攻撃者が特別に細工されたNSKeyedArchiveをHomeKitに送り込み、続いて悪意のあるコンテンツをMessagesBlastDoorServiceに送り込むという流れだったと見られる。AppleはiOS 16.3.1でのHomeKitの変更により最初の問題を修正したが、MessagesBlastDoorServiceの問題についてはそれより早く、おそらくiOS 16.1で修正したと私たちは判断している。

さらに、2023年3月6日 09:49 から 2023年3月7日 07:30 にかけて、クーログロウの端末でペガサスの活動が確認されたが、これは同じエクスプロイトに関連している可能性が高いと私たちは判断している。2022年および2023年の各日付において、当該端末は iOS 15.5 (19F77) を実行していたと私たちは判断している。

これらの調査結果は、入手可能なフォレンジックデータの制限により捕捉できなかった追加の感染の可能性を排除するものではない。Appleからの通知標的型攻撃に関する私たちの発見をさらに裏付けるため、フォレンジック分析の結果、クーログロウに対し、2023年3月2日、2023年8月29日、2024年4月10日の3回にわたり、傭兵型スパイウェアによる標的型攻撃に関するAppleからの脅威通知が複数回送信されていたことが判明した。Appleや他の企業からの脅威通知はリアルタイムのアラートではない点に留意する必要がある。これらは通常、標的攻撃が発生してから数ヶ月以上経ってから、一括してユーザーに送信されるのが一般的だ。クーログロウは、私たちが確認したAppleからの通知を受け取った記憶はないと述べている。

標的化の背景とPEGA委員会の活動

クーログロウは、Citizen Labがペガサス・スパイウェアによる標的化を受けていた期間中の自身の活動を再構築するのに協力した（詳細なタイムラインは付録を参照）。検討対象期間を通じて、クーログロウはスパイウェアの悪用について数多くの記事を執筆し、頻繁にインタビューに応じた。以下のセクションでは、重要な背景情報を要約する。

最初のペガサス感染期間：PEGA公聴会の準備、各国訪問

クーログロウの端末における最初のペガサス感染が確認された日付――2022年10月21日――は、PEGA委員会の審議や調査をめぐる活動が特に活発だった時期と一致している。まず、感染日以降、PEGA委員会の公聴会が相次いで開催される予定だった。その中には、「ビッグテックとスパイウェア」（10月26日）、「スパイウェアとeプライバシー」（10月26日）、および「スパイウェアと基本権」（10月27日）が含まれていた。重要な点として、PEGA委員会は当時、報告書初稿の公表に向けた準備の真っ最中だった。報告書の草案は、公表に先立つ数週間、PEGA委員会の委員やスタッフの間で議論され、回覧されていた。クーログロウは、最初の感染日（2022年10月21日）が、主にテキストメッセージや電子メールを通じて行われた活発な議論や意見交換の時期と一致していたことを確認している。PEGA委員会報告書の最初の草案は、2022年11月8日にイン・ト・フェルト欧州議会議員によって提出された。この草案は、ポーランド、ハンガリー、ギリシャ、キプロス、スペインにおけるスパイウェア使用の疑惑に焦点を当てていた。

公聴会や報告書作成に加え、PEGA委員会の委員たちは任務の一環として、欧州の数カ国を訪問していた。10月を通じて、PEGA委員会は2022年11月1日から4日に予定されていたギリシャおよびキプロスへの調査訪問の計画を進めていた。クーログロウは計画立案を支援し、PEGA委員会の審議の一環として両方の訪問に参加した。クーログロウの端末がハッキングされたのは、この訪問開始の10日前、訪問に関する連絡が交わされていた時期であった。

タナシス・クカキスとの面会

感染が確認された2022年10月21日、クーログロウは予定されていた手術のため入院していた。病室を訪れたのは、ギリシャにおける傭兵型スパイウェア問題に深く関わってきたギリシャの調査報道記者タナシス・クカキス(Thanasis Koukakis)であり、彼は前月にPEGA委員会で証言していた。2022年3月、Citizen Labは、クカキス自身がインテレクサ(Intellexa)社の「プレデター(Predator)」スパイウェアの標的となっていたことを確認しており、当時彼はこのスパイ行為について、ギリシャの関連当局に対し法的救済措置や正式な苦情申し立てを進めていた。クカキスは、クーログロウと会った様子を写真に収めた（図2）。

感染がクーログロウのギリシャの病院での入院中に発生したことを踏まえると、病室での会話を含め、彼の端末から機密の医療情報が傍受されていた可能性がある。

もしスパイウェアが、クーログロウと医療スタッフとの会話、あるいは予約、検査結果、診断、その他の健康関連情報に関する携帯電話に保存されていた詳細を捕捉していた場合、彼の端末へのハッキングは、健康関連データの機密性に関するギリシャの法律に抵触する可能性がある。健康関連データは個人データの特別カテゴリーとみなされ、強化された保護の対象となっている（ギリシャ刑法に基づく法律第4624/2019号）。

2度目のペガサス感染期間：PEGA委員会での緊迫した審議

クーログロウの端末は、2023年3月6日と7日に、ペガサススパイウェアによって2度目のハッキングを受けた。クーログロウにによれば、この期間中、PEGA委員会は最終草案作成プロセスに関する活発な議論を行っていた。2023年3月6日、クーログロウはアテネからブリュッセルへ移動し、感染が発生した3月6日と7日の両日、ブリュッセルに滞在していた。

また、この時期、PEGA報告者である’t Veld欧州議会議員が、LIBE委員会（市民的自由・司法・内務委員会）の視察団の一員としてギリシャに滞在していたことも重要な点かもしれない。同委員会は欧州議会の常設委員会であり、主に人権、データ保護、難民、移民、差別禁止に関する問題について、法案の起草や民主的な監視を行う責任を負っている。

その視察において、LIBE代表団は、ギリシャのスパイウェアスキャンダルについて、ギリシャ国家透明性局の局長やその他の当局者に質問を行った（報告書第183項）。

これまでの感染日と同様、この時期の感染後も、一連のPEGA公聴会やスペインへの調査旅行が続いた（ただし、クーログロウ自身はその旅行には参加しなかった）。この感染は、PEGA委員会の第1次報告書が採択される（2023年5月8日）約2ヶ月前に発生した。

これとは別に、クーログロウとタナシス・クカキスはWhatsAppを通じて、2023年3月6日および7日頃に会うという暫定的な計画を立てていたが、結局、対面での会合は実現しなかった。

監視下にある欧州議会

PEGA委員会の委員が、同委員会に在籍中にペガサス・スパイウェアの被害者であることが公に特定されたのは、これが初めてである。

PEGA委員会の設立以前にも、欧州議会議員が標的となった事例がいくつか公表されている。カタルーニャ出身の欧州議会議員4名が、直接的または間接的にペガサスの標的となった。ダイアナ・リバ議員の端末は2019年10月に感染した。カタルーニャ出身のジョルディ・ソレ議員は、欧州議会への就任直前の2020年6月に標的となった。他の2人のカタルーニャ出身の欧州議会議員、クララ・ポンサティ（2020年7月）とカルレス・プイグデモント（2019年10月および2020年7月）は、スタッフや家族を通じて標的とされた。リバ、ソレ、プイグデモントの3人は全員、PEGA委員会に委員として参加している。リバは副委員長、プイグデモントは委員、ソレは補欠委員としてである。彼らは、アントニ・コミンとニコス・アンドルラキス（その端末はスパイウェア「プレデター」の標的となっていた）と共に、PEGA委員会で自身の体験について証言した。

PEGA委員会以外では、2024年2月、Politicoが、安全保障・防衛小委員会の欧州議会議員に対し、2台の端末からスパイウェアの痕跡が見つかったことを受け、携帯電話の検査を受けるよう求められたと報じた。同委員会の委員長を務めるフランスの欧州議会議員ナタリー・ルワゾーは、自身がペガサスの標的となったことを確認した。欧州議会のITサービス部門は、ブルガリアの欧州議会議員エレナ・ヨンチェヴァに対し、彼女の端末が2023年10月下旬に標的となっていたことを伝えた。2024年5月、PEGA委員会の審議終了を受けて、ドイツの欧州議会議員ダニエル・フロイントは、カンディルの傭兵型スパイウェアの標的となっていたことを公表した。

犯行主体の特定

クーログロウに対する標的型攻撃およびNSOグループのペガサス・スパイウェアへの感染については、高い確信を持って断定するものの、私たは、ちこの調査結果をNSOグループの特定の顧客に帰属させることはしない。

2022年、Citizen Labがタナシス・クカキスの端末がプレデター・スパイウェアを用いてハッキングされたことを初めて発見して以来、ギリシャ政府は、市民社会に対する権力乱用的な標的型監視のスキャンダルに巻き込まれ続けている。しかし、今回のハッキングがギリシャ政府によるものであるという兆候は一切ない。ギリシャがNSOグループの顧客である、あるいはペガサススパイウェアの利用者であるという報告はない。ギリシャ政府がインテレクサ社のプレデター民間スパイウェアを広範に悪用していたことは知られているが、Citizen Labは、ギリシャの治安・諜報機関がNSOグループのペガサススパイウェアにアクセスしていたことを示唆する技術的指標を把握していない。

しかし、2022年にクーログロウを標的としたのと同じオペレーターが、Access Nowとの2024年5月の共同報告書で私たちが指摘した標的も狙っていたと私たちは考えている。その報告書では、欧州を拠点とするロシア語およびベラルーシ語を話す独立系ジャーナリストや野党活動家7名が、NSOグループの「ペガサス」傭兵型スパイウェアの標的となったり、感染させられたりしていたことが判明した。同報告書で伏せ字にされていたApple ID（メールアドレス1）の一つはrauharepo888[@]gmail.comであり、これはクーログロウを標的としたのと同じHomeKitのメールアドレスである。この期間におけるペガサス感染インフラに関する私たちの知見から、これらのメールアドレスは特定のオペレーターに属するものだと考えている。2023年の2回目の感染が、同様にこのオペレーターと関連しているのか、それとも別のオペレーターによるものなのかは断定できない。

さらに、彼の携帯電話への感染は、少なくとも2つの欧州管轄区域（ギリシャとベルギー）で確認されているようだ。NSOグループのライセンスに関する私たちの知見に基づけば、これは顧客が複数のEU管轄区域での感染を可能にするライセンスを保有していたことを示唆しており、本件の責任を負う可能性のあるペガサス運用者の候補を絞り込むことになる。

結論

欧州議会議員でありPEGA委員会の委員である人物の端末への感染は、重大かつ憂慮すべき発見である。さらに懸念されるのは、委員会審議が行われていた期間中、他の多くの委員の携帯電話の状況が確認できていないという点だ。包括的なスクリーニングを行わない限り、他のPEGA委員会の委員やそのスタッフが同様に感染していたかどうかを知る術はない。

ハッキングの責任がどの組織にあるにせよ、この感染により、PEGA委員会委員とそのスタッフ間の極秘のやり取りや、委員会自身が調査対象としている当事者を含む、その他の機密性の高い議会審議内容が漏洩した可能性がある。

PEGA委員会の活動中に、委員の一人がペガサス・スパイウェアの標的となっていたという事実が判明したことは、傭兵型スパイウェアが民主的プロセスの健全性に及ぼす深刻な脅威を浮き彫りにしている。

上述の通り、欧州議会議員の端末が傭兵型スパイウェアの標的となったりハッキングされたりした事例は今回が初めてではなく、これは規制のない傭兵型ハッキングの破壊的な性質を如実に示している。

現時点では、これらの感染を特定の政府機関に断定的に帰属させることはできず、ギリシャ政府がこの件の責任を負うという証拠もないが、欧州に拠点を置く亡命中のロシア人およびベラルーシ語を話すジャーナリストや活動家の端末をハッキングしたオペレーターとの共通点があることから、さらなる調査が必要である。

提言

今回の発見を踏まえ、私たちは欧州連合（EU）の機関に対し、EUのプライバシーおよび手続きに対するこの侵害の範囲と規模を特定するため、直ちに調査を開始するよう提言する。

欧州議会議員およびスタッフ：スクリーニングを受けること

• PEGA委員会に参加した欧州議会議員およびそのスタッフに対し、スパイウェア感染の兆候がないかフォレンジックスクリーニングを直ちに受けること、および標的となった可能性のある業務用および個人用端末を保全するよう強く求める。
  • 情報技術・サイバーセキュリティ総局（DG ITEC）がこのスパイウェアスクリーニングを提供している。
• 国家が支援する攻撃に関する警告には警戒を怠らず、そのような警告を受けた場合は速やかに専門家の支援を求めること。
• 欧州議会議員の業務は、より高度な脅威にさらされるものである。EUの欧州議会議員は「ロックダウンモード」（iPhone）およびAndroidの「アドバンストプロテクト」を有効にするべきだ。このモードは、悪意のあるスパイウェアに対する端末の保護を大幅に強化する。DG ITECは、追加のサイバーセキュリティに関するガイダンスを提供できる可能性がある。

欧州議会：調査の実施、報告およびスクリーニングの強化

• 本報告書で詳述されたPEGA委員会の監視事例を踏まえ、欧州議会は欧州議会議員および議会の運営プロセスを標的としたスパイウェア攻撃について、直ちに調査を行うべきだ。
  • この特定の攻撃からすでに時間が経過しているため、フォレンジック上の痕跡が失われないよう、迅速な調査が急務である。
• 私たちは欧州議会に対し、議会および議員に対するサイバー脅威および監視脅威に関する年次報告書の作成を委託し、脆弱な領域を特定するとともに、議会のセキュリティ強化に向けた提言を行うよう強く求める。
  • このような報告書は、欧州議会調査局（EPRS）またはその他の機関によって作成され得る。
• DG ITECは、欧州議会議員および職員を対象に、スパイウェアのスクリーニングを任意で提供している。本件は、この機能が十分に活用されていない可能性を示唆している。私たちは、DG ITECに対し、スクリーニング率を大幅に引き上げるための計画を策定し、スクリーニング対象となったデバイスの数および検出率に関する年次統計を公表するよう強く求める。
  • 私たちも、DG ITECに対し、AppleやGoogleなどの企業から発出される国家支援型攻撃に関する警告への警戒について、欧州議会議員および職員向けの具体的な指針を定期的に周知するよう強く求める。
• DG ITECに対し、欧州議会議員およびその職員に関連するアカウント情報を（任意で）収集し、大手プラットフォームに提供するよう検討することを推奨する。DG ITECは、これらのアカウントに対する脅威について追加の精査を行うよう要請し、プラットフォームがこれらのアカウントに対して国家が関与する脅威の警告を送信した際には、その旨を通知するよう求めることができる。この情報により、国家が関与する攻撃の警告に対して迅速に対応し、そのパターンを把握することが可能となる。

欧州委員会：委員および職員に対するスパイウェアのスクリーニング

• 私たちは、欧州委員会に対し、委員や委員会職員が傭兵型スパイウェアの標的となっているかどうかを判断するため、独自の調査およびスクリーニングを実施するよう強く求める。
• 私たちは、欧州委員会のデジタルサービス総局（DG DIGIT）に対し、定期的なスクリーニングに加え、包括的なスパイウェアのスクリーニングおよび対応能力を構築するよう強く求める。また、この取り組みにおいて、DG ITECが有用な対話相手となり得ることを指摘する。

欧州評議会議員会議（PACE）：議員およびスタッフに対するスパイウェアのスクリーニング

• 欧州における傭兵型スパイウェアの悪用に関する過去のPACE委員会での取り組みを踏まえ、議員や職員が傭兵型スパイウェアの標的となっているかどうかを調査するよう私たちが求める。
• 欧州評議会の情報技術局（DIT）に対し、同種の組織と協議し、PACE議員およびその職員を対象に、傭兵型スパイウェアによる標的化の兆候がないか定期的なスクリーニングを実施するよう求める。

各国議会：議員のスクリーニングとセキュリティ確保

• 本件は欧州議会議員（MEP）に関するものだが、ペガサスや類似の傭兵型スパイウェアの標的となった議員には長い歴史がある。私たちは、議員をスクリーニングするための手法を開発したDG ITECを称賛するとともに、各国議会の治安機関および監視機関に対し、このモデルを参考にするよう奨励する。

テクノロジー企業：脅威警告の効果を高める

• 本件は、複数の脅威警告を受け取ったにもかかわらず、受信者がそれらに気づかなかったことを示している。こうした通知の目的は対象者が行動を起こすことにあるため、対象者が通知を確実に目にして理解できるようにすることが極めて重要だ。過去の通知受信者を含むUX調査は、受信者の注意を引き、問題を説明し、次のステップを容易にする通知を作成する上で鍵となる。

研究倫理に関する注記

Citizen Labで実施される人間を対象とするすべての研究は、トロント大学研究倫理委員会によって審査・承認された研究倫理プロトコルに基づいて行われている。

謝辞

入念なレビューを行ってくれたレベッカ・ブラウンとアダム・センフト、ならびに広報およびレイアウトのサポートをしてくれたアンナ・マッケイとクレア・ポスノに感謝する。本研究への参加および氏名の掲載に同意してくれたステリオス・クーログロウとタナシス・クカキスに深く感謝する。ザカリアス・ケセスとTNGには特に感謝する。

付録：PEGAの審議と感染日時の年表

Date	Event
January 30, 2015	Journalist, writer, and documentary director Stelios Kouloglou became a member of the European parliament, aligned with the left-wing coalition SYRIZA party of Greece when the elected MEP Georgios Katrougalos left his seat to join the Tsipras’ coalition government in Athens.
May 2019	Kouloglou kept his MEP seat in the 2019 European Parliamentary elections.
March 10, 2022	The Committee of Inquiry to investigate the use of Pegasus and equivalent surveillance spyware (PEGA) was established.
March 24, 2022	Kouloglou is appointed to serve as a substitute member on the Committee of Inquiry to investigate the use of Pegasus and equivalent surveillance spyware (PEGA committee).
October 21, 2022	Kouloglou’s phone is infected with Pegasus spyware while in the hospital. He is visited by Greek investigative journalist Thanasis Koukakis, who has worked closely on mercenary spyware issues in Greece, has testified to the PEGA committee, and was himself targeted with Intellexa’s Predator spyware.
October 26-27, 2022	PEGA holds a string of hearings:  – “Big Tech and Spyware” (October 26),  – “Spyware and e-privacy” (October 26) – “The impact of Spyware on Fundamental Rights / Democracy and Electoral processes” (October 27).
November 1-4, 2022	The PEGA Committee visits Cyprus and Greece. Kouloglou is a member of the delegation, and actively participates in questioning those interviewed.
November 5, 2022	Greek media reporting revealed a list of 33 more targeted individuals in the Greek wiretapping scandal, all of whom were high profile political, business, and media personalities. This revelation featured heavily in the PEGA Committee’s final report which concluded that the claim that Predator was used by a private actor is “highly implausible, as it would not explain the choice of targets” (para 141).
November 8, 2022	The PEGA committee rapporteur publishes their draft report.
January 2023	Amendments tabled for PEGA draft report.
February 2023	PEGA hearings and investigations continue and from February 20 to 21, 2023, the Committee undertook a research mission to Hungary (MEP Kouloglou was not a member of this delegation).
March 2, 2023	Kouloglou receives an Apple threat notification about targeting with Pegasus-like mercenary spyware.
March 6 & 7, 2023	Kouloglou’s phone is again infected with Pegasus spyware. Kouloglou left Athens for Brussels on March 6 and was in Brussels March 6 and 7, 2023
March 6 to 8, 2023	PEGA Rapporteur MEP in ‘t Veld was in Greece as part of a mission with the LIBE Committee. On that mission, the LIBE delegation questioned the Director of the National Transparency Authority and other officials on the spyware scandal (see PEGA report para 183).
March 2023	PEGA Hearings in March:  – “Exchange of views on a European Security Lab / Research centre on spyware” (March 9) – “Geopolitics of Spyware II” (March 16, continued after hearing faced technical difficulties in Feb)   – “Spyware and telecommunication companies” (March 16) On March 20-23, PEGA does a research mission to Spain. Kouloglou does not travel with this delegation.
May 8, 2023	The PEGA committee adopts the first committee report. Several weeks leading up to this date, the committee is engaged in intense discussions around the final draft of the report.
June 15, 2023	The PEGA Committee recommendations were adopted.
August 29, 2023	Kouloglou receives another notification from Apple about targeting with mercenary spyware.
October 23, 2023	Kouloglou left the SYRIZA party after disagreements with party leader Stefanos Kasselakis. He sits as an independent until June 2024, after which point he sits as a member of the New Left.
April 10, 2024	Kouloglou receives another notification from Apple about targeting with mercenary spyware.
July 16, 2024	Kouloglou ceases being a member of the European parliament, at the end of the 9th Parliamentary term.
May 2026	Kouloglou reaches out to the Citizen Lab and requests a forensic analysis of his iPhone, which shows that his device had been infected.

出典：https://citizenlab.ca/research/member-of-committee-investigating-spyware-hacked-with-pegasus