Hoạt động gián điệp nhắm vào Nghị viện châu Âu: thành viên ủy ban điều tra Pegasus cũng bị hack
(citizenlab.ca)- iPhone của Stelios Kouloglou, cựu nghị sĩ Nghị viện châu Âu xuất thân là nhà báo điều tra Hy Lạp, được xác nhận đã nhiều lần bị nhiễm Pegasus trong thời gian ông tham gia PEGA Committee
- Thời điểm lây nhiễm là ngày 21/10/2022 và ngày 6–7/3/2023, trùng với giai đoạn có nhiều liên lạc không công khai như phiên điều trần, dự thảo báo cáo và chuẩn bị chuyến thăm quốc gia
- Lần lây nhiễm đầu liên quan đến dấu vết tiến trình Pegasus sử dụng dữ liệu di động ngay sau khi truy vấn email HomeKit
rauharepo888[@]gmail.com, và được đánh giá là vụ hack qua khai thác zero-click PWNYOURHOME - Chưa có chính phủ cụ thể nào bị chỉ ra là đứng sau, và cũng không có dấu hiệu cho thấy trách nhiệm thuộc về chính phủ Hy Lạp; tuy nhiên cùng email HomeKit này cũng được phát hiện trong các chiến dịch Pegasus nhắm vào nhà báo lưu vong và nhà hoạt động thuộc cộng đồng nói tiếng Nga/Belarus
- Nếu không kiểm tra toàn diện thiết bị của các thành viên và nhân viên Nghị viện châu Âu, sẽ khó xác định mức độ các trao đổi mật của PEGA Committee và quy trình nghị viện đã bị phần mềm gián điệp đánh thuê phơi lộ đến đâu
Các ca nhiễm Pegasus được xác nhận trong thời gian hoạt động của PEGA Committee
- Stelios Kouloglou là chính trị gia Hy Lạp xuất thân là nhà báo điều tra, gia nhập Nghị viện châu Âu năm 2015
- Từ ngày 24/3/2022 đến 18/7/2023, ông là thành viên dự khuyết của PEGA Committee thuộc Nghị viện châu Âu, ủy ban điều tra việc sử dụng Pegasus và các phần mềm gián điệp giám sát tương tự
- PEGA Committee được thành lập ngày 10/3/2022 sau Pegasus Project năm 2021 và các bài báo liên quan, trong bối cảnh có các tiết lộ rằng các chính phủ châu Âu đã giám sát nhà báo, nhà hoạt động, chính trị gia và công dân
- Nhiệm vụ của ủy ban là điều tra phạm vi sử dụng spyware vi phạm luật EU, với đối tượng điều tra là “Pegasus and equivalent surveillance spyware”
Kết quả pháp y iPhone
- Tháng 5/2026, Kouloglou liên hệ Citizen Lab, và phân tích pháp y các artifact trên iPhone đã xác nhận thiết bị bị nhiễm Pegasus
- Các thời điểm lây nhiễm được xác nhận với độ tin cậy cao là khoảng ngày 21/10/2022 và ngày 6–7/3/2023
-
Ca nhiễm ngày 21/10/2022
- Lúc 10:16 có truy vấn địa chỉ email HomeKit
rauharepo888[@]gmail.com, và 2 phút sau tiến trình Pegasus sử dụng dữ liệu di động - Ca nhiễm này được đánh giá là vụ hack thông qua khai thác zero-click PWNYOURHOME
- PWNYOURHOME dường như hoạt động bằng cách kẻ tấn công gửi một NSKeyedArchive được chế tác đặc biệt tới HomeKit, sau đó nội dung độc hại đi tới MessagesBlastDoorService
- Apple đã giảm thiểu vấn đề liên quan đến HomeKit trong iOS 16.3.1, còn vấn đề ở MessagesBlastDoorService được đánh giá là đã được sửa sớm hơn, có lẽ trong iOS 16.1
- Lúc 10:16 có truy vấn địa chỉ email HomeKit
-
Ca nhiễm ngày 6–7/3/2023
- Hoạt động Pegasus cũng được xác nhận trong khoảng từ 09:49 ngày 6/3/2023 đến 07:30 ngày 7/3, và có khả năng liên quan đến cùng khai thác
- Tại thời điểm nhiễm trong năm 2022 và 2023, thiết bị được đánh giá là đang chạy iOS 15.5 (19F77)
- Do hạn chế của dữ liệu pháp y sẵn có, không thể loại trừ khả năng còn có các lần lây nhiễm bổ sung chưa được phát hiện
Cảnh báo mối đe dọa của Apple và vấn đề người dùng nhận biết
- Theo phân tích pháp y, Kouloglou đã nhận ba lần cảnh báo mối đe dọa từ Apple về việc bị phần mềm gián điệp đánh thuê nhắm mục tiêu
- Ngày 2/3/2023
- Ngày 29/8/2023
- Ngày 10/4/2024
- Cảnh báo mối đe dọa của Apple và các công ty khác không phải là cảnh báo thời gian thực; thông thường chúng thường được gửi hàng loạt sau khi việc nhắm mục tiêu đã diễn ra nhiều tháng hoặc lâu hơn
- Kouloglou cho biết ông không nhớ đã nhận các cảnh báo Apple được quan sát thấy
- Ngay cả những người nhiều lần nhận cảnh báo mối đe dọa cũng có thể thực tế không nhận ra chúng
Thời điểm ca nhiễm đầu: trùng với dự thảo báo cáo, phiên điều trần và chuẩn bị chuyến thăm quốc gia
- Ngày nhiễm đầu tiên, 21/10/2022, trùng với giai đoạn các cuộc thảo luận và điều tra của PEGA Committee đặc biệt sôi động
- Ngay sau ca nhiễm, các phiên điều trần sau đã được lên lịch
- “Big Tech and Spyware” — 26/10/2022
- “Spyware and e-privacy” — 26/10/2022
- Phiên điều trần về spyware và các quyền cơ bản — 27/10/2022
- Ủy ban cũng đang chuẩn bị công bố bản dự thảo báo cáo đầu tiên, và bản dự thảo đang được thảo luận, lưu hành giữa các thành viên và trợ lý
- Kouloglou xác nhận ngày nhiễm đầu tiên trùng với giai đoạn thảo luận và trao đổi dày đặc, chủ yếu qua tin nhắn văn bản và email
- Dự thảo báo cáo đầu tiên của PEGA Committee được nghị sĩ Sophie in ’t Veld công bố ngày 8/11/2022
- Dự thảo đề cập đến các nghi vấn spyware tại Ba Lan, Hungary, Hy Lạp, Síp và Tây Ban Nha
- PEGA Committee cũng đang chuẩn bị chuyến thăm Hy Lạp và Síp từ ngày 1–4/11/2022, và Kouloglou tham gia vào việc lập kế hoạch cũng như chuyến thăm
- Thiết bị bị hack 10 ngày trước khi chuyến thăm này bắt đầu, thời điểm đang có các trao đổi liên quan đến chuyến thăm
Lây nhiễm trong bệnh viện và khả năng lộ thông tin y tế
- Vào ngày bị nhiễm 21/10/2022, Kouloglou đang nằm viện tại Hy Lạp để phẫu thuật theo lịch
- Nhà báo điều tra Hy Lạp Thanasis Koukakis đã đến thăm phòng bệnh
- Koukakis là người theo sát các vấn đề phần mềm gián điệp đánh thuê tại Hy Lạp
- Ông đã làm chứng trước PEGA Committee vào tháng trước đó
- Tháng 3/2022, Citizen Lab xác nhận Koukakis là mục tiêu của spyware Predator của Intellexa
- Vì việc lây nhiễm xảy ra trong thời gian nằm viện, có khả năng thông tin liên quan đến sức khỏe như cuộc trò chuyện trong phòng bệnh hoặc với nhân viên y tế, lịch hẹn, kết quả xét nghiệm, chẩn đoán đã bị chặn lấy từ thiết bị
- Theo luật Hy Lạp, dữ liệu liên quan đến sức khỏe là loại dữ liệu cá nhân đặc biệt được bảo vệ tăng cường, và việc hack có thể liên quan đến bảo mật thông tin y tế theo Law 4624/2019 trong Bộ luật Hình sự Hy Lạp
Thời điểm ca nhiễm thứ hai: trùng với thảo luận về báo cáo cuối cùng
- Ca nhiễm thứ hai xảy ra vào ngày 6–7/3/2023
- Theo Kouloglou, trong thời gian này PEGA Committee đang tiến hành các cuộc thảo luận tập trung liên quan đến quá trình soạn thảo bản cuối cùng
- Kouloglou di chuyển từ Athens tới Brussels ngày 6/3/2023, và ở Brussels trong thời gian nhiễm là ngày 6–7/3
- Cùng thời điểm, rapporteur của PEGA là nghị sĩ Sophie in ’t Veld đang ở Hy Lạp trong nhiệm vụ của LIBE Committee
- LIBE Committee là ủy ban thường trực của Nghị viện châu Âu phụ trách lập pháp và giám sát dân chủ liên quan đến nhân quyền, bảo vệ dữ liệu, tị nạn, nhập cư và chống phân biệt đối xử
- Trong nhiệm vụ này, phái đoàn LIBE đã chất vấn giám đốc và các quan chức của National Transparency Authority Hy Lạp về bê bối spyware tại Hy Lạp
- Sau ca nhiễm thứ hai, các phiên điều trần PEGA và chuyến thăm điều tra Tây Ban Nha vẫn tiếp diễn, nhưng Kouloglou không tham gia chuyến thăm Tây Ban Nha
- Ca nhiễm này xảy ra khoảng hai tháng trước khi báo cáo đầu tiên của PEGA Committee được thông qua vào ngày 8/5/2023
- Kouloglou và Thanasis Koukakis đã tạm lên kế hoạch gặp nhau qua WhatsApp quanh ngày 6–7/3/2023, nhưng cuộc gặp trực tiếp thực tế không diễn ra
Các trường hợp spyware nhắm vào nghị sĩ Nghị viện châu Âu
- Kouloglou là thành viên đầu tiên của PEGA Committee được xác nhận công khai là nạn nhân Pegasus trong thời gian làm việc tại ủy ban
- Trước khi PEGA Committee được thành lập, đã có các trường hợp công khai nhắm vào nghị sĩ Nghị viện châu Âu
- Thiết bị của MEP Catalan Diana Riba bị nhiễm vào tháng 10/2019
- MEP Catalan Jordi Solé bị nhắm mục tiêu vào tháng 6/2020, ngay trước khi đảm nhận ghế tại Nghị viện châu Âu
- Clara Ponsati và Carles Puigdemont bị nhắm mục tiêu thông qua trợ lý hoặc người thân
- Riba, Solé và Puigdemont sau đó tham gia PEGA Committee và làm chứng về trải nghiệm của mình tại PEGA Committee
- Bên ngoài PEGA Committee, các trường hợp nhắm vào Nghị viện châu Âu vẫn tiếp diễn
- Tháng 2/2024, Politico đưa tin các nghị sĩ thuộc tiểu ban An ninh và Quốc phòng được yêu cầu kiểm tra điện thoại sau khi dấu vết spyware được phát hiện trên hai thiết bị
- MEP Pháp Nathalie Loiseau xác nhận bà là mục tiêu của Pegasus
- IT Services của Nghị viện châu Âu thông báo cho MEP Bulgaria Elena Yoncheva rằng thiết bị của bà bị nhắm mục tiêu vào cuối tháng 10/2023
- Tháng 5/2024, MEP Đức Daniel Freund thông báo ông đã trở thành mục tiêu của phần mềm gián điệp đánh thuê Candiru
Đánh giá bên đứng sau và các giới hạn còn lại
- Đánh giá rằng thiết bị của Kouloglou đã bị nhắm mục tiêu và lây nhiễm bởi phần mềm gián điệp đánh thuê Pegasus của NSO Group có độ tin cậy cao
- Chưa chỉ ra khách hàng cụ thể nào của NSO Group là bên đứng sau
- Không có dấu hiệu cho thấy chính phủ Hy Lạp là chủ thể của vụ hack này
- Không có báo cáo nào cho thấy Hy Lạp là khách hàng của NSO Group hoặc là người dùng Pegasus
- Chính phủ Hy Lạp được biết là đã lạm dụng rộng rãi phần mềm gián điệp đánh thuê Predator của Intellexa, nhưng không có chỉ báo kỹ thuật nào cho thấy các cơ quan an ninh và tình báo Hy Lạp có quyền truy cập Pegasus
- Có điểm liên hệ giữa việc nhắm mục tiêu Kouloglou năm 2022 và việc nhắm mục tiêu trong báo cáo chung của Access Now tháng 5/2024
- Báo cáo đó đề cập đến 7 nhà báo độc lập và nhà hoạt động đối lập thuộc cộng đồng nói tiếng Nga/Belarus tại châu Âu bị Pegasus nhắm mục tiêu hoặc lây nhiễm
- Một trong các Apple ID được ẩn danh trong báo cáo đó,
rauharepo888[@]gmail.com, trùng với email HomeKit nhắm vào Kouloglou - Theo hiểu biết hiện tại về hạ tầng lây nhiễm Pegasus trong giai đoạn này, các email như vậy được đánh giá là duy nhất cho từng operator cụ thể
- Không thể xác nhận ca nhiễm thứ hai năm 2023 có liên quan đến cùng operator hay là operator khác
- Việc lây nhiễm dường như đã hiện diện tại ít nhất hai khu vực tài phán châu Âu là Hy Lạp và Bỉ
- Theo hiểu biết hiện có về giấy phép NSO Group, điều này gợi ý khả năng khách hàng có giấy phép cho phép lây nhiễm ở nhiều khu vực tài phán EU
Tác động đối với quy trình dân chủ và bí mật nghị viện
- Việc thiết bị của thành viên PEGA Committee bị nhiễm cho thấy các trao đổi tuyệt mật và quy trình nghị viện nhạy cảm trong thời gian ủy ban hoạt động có thể đã bị phơi lộ
- Đối tượng bị phơi lộ có thể bao gồm trao đổi giữa các thành viên PEGA Committee và trợ lý, cũng như các quy trình nhạy cảm liên quan đến các bên mà ủy ban đang điều tra
- Vì chưa biết tình trạng thiết bị của các thành viên và trợ lý PEGA Committee khác, nếu không kiểm tra toàn diện thì không có cách nào xác nhận có các ca nhiễm tương tự hay không
- Trường hợp này cho thấy mối đe dọa mà phần mềm gián điệp đánh thuê gây ra đối với tính toàn vẹn của quy trình dân chủ
- Đây không phải là lần đầu thiết bị của nghị sĩ Nghị viện châu Âu bị phần mềm gián điệp đánh thuê nhắm mục tiêu hoặc hack, và nó cho thấy tính ăn mòn của hoạt động hack đánh thuê không được kiểm soát
Khuyến nghị
- Các cơ quan EU nên mở cuộc điều tra ngay lập tức để xác định phạm vi và quy mô vi phạm dữ liệu cá nhân và quy trình của EU
-
MEP và trợ lý
- Các MEP và trợ lý từng tham gia PEGA Committee cần ngay lập tức tiến hành kiểm tra pháp y lây nhiễm spyware, đồng thời bảo toàn các thiết bị công việc và cá nhân có thể đã bị nhắm mục tiêu
- Directorate-General for Information Technologies and Cybersecurity (DG ITEC) cung cấp dịch vụ kiểm tra spyware
- Cần chú ý đến cảnh báo tấn công do nhà nước bảo trợ, và nếu nhận được cảnh báo thì nhanh chóng tìm hỗ trợ chuyên gia
- MEP của EU nên bật Lockdown Mode trên iPhone và Advanced Protection trên Android
- Các chế độ này làm tăng đáng kể khả năng bảo vệ thiết bị trước phần mềm gián điệp đánh thuê
- DG ITEC có thể cung cấp hướng dẫn an ninh mạng bổ sung
-
Nghị viện châu Âu và các cơ quan EU
- Nghị viện châu Âu cần điều tra ngay các cuộc tấn công spyware nhắm vào MEP và quy trình nghị viện
- Vì các cuộc tấn công đã xảy ra từ trước, cần điều tra nhanh để tránh mất dấu vết pháp y
- Nghị viện nên ủy thác một báo cáo thường niên về các mối đe dọa mạng và giám sát đối với Parliament và các nghị sĩ
- European Parliamentary Research Service hoặc một cơ quan khác có thể thực hiện báo cáo này
- DG ITEC cần xây dựng kế hoạch tăng mạnh tỷ lệ kiểm tra thiết bị, đồng thời công bố thống kê thường niên về số thiết bị được kiểm tra và tỷ lệ phát hiện
- DG ITEC cần thường xuyên phân phát hướng dẫn cụ thể cho MEP và trợ lý về các cảnh báo tấn công do nhà nước bảo trợ từ các công ty như Apple và Google
- Ủy ban châu Âu cần tự điều tra và kiểm tra để xác định liệu các ủy viên và nhân viên có bị phần mềm gián điệp đánh thuê nhắm mục tiêu hay không
- DG DIGIT của Commission cần xây dựng năng lực kiểm tra và ứng phó spyware toàn diện cùng với việc kiểm tra định kỳ
-
PACE, nghị viện các nước và công ty công nghệ
- Parliamentary Assembly of the Council of Europe (PACE) cần điều tra xem các thành viên và nhân viên của mình có bị nhắm mục tiêu hay không, xét đến hoạt động trước đây của ủy ban liên quan đến lạm dụng phần mềm gián điệp đánh thuê tại châu Âu
- Directorate of Information Technology của Council cần tham vấn các cơ quan đồng cấp và thường xuyên kiểm tra dấu hiệu thành viên cũng như nhân viên PACE bị phần mềm gián điệp đánh thuê nhắm mục tiêu
- Các dịch vụ an ninh và cơ quan giám sát của nghị viện các nước cần tham khảo mô hình kỹ thuật kiểm tra nghị sĩ của DG ITEC để bảo vệ nghị sĩ
- Các công ty công nghệ cần cải thiện cách thông báo, bao gồm nghiên cứu UX, để người nhận cảnh báo mối đe dọa thực sự nhìn thấy, hiểu và có thể hành động theo cảnh báo
1 bình luận
Ý kiến trên Hacker News
Vào tháng 5/2026, Kouloglou đã liên hệ với Citizen Lab; sau khi phân tích pháp chứng các dấu vết từ iPhone của ông, họ cho biết có mức độ tin cậy cao rằng thiết bị đã bị lây nhiễm thành công phần mềm gián điệp Pegasus vào khoảng ngày 21/10/2022 và trong các ngày 6–7/3/2023
Kouloglou nói ông không nhớ đã nhận thông báo nào của Apple mà Citizen Lab xác nhận; liệu có thể hiểu điều này là Apple đã báo rằng ông đang bị theo dõi nhưng ông đã bỏ qua không?
Thật sốc khi thông báo đe dọa của Apple và các công ty khác không theo thời gian thực, mà thường được gửi gộp sau các cuộc tấn công có chủ đích vài tháng hoặc lâu hơn
Nếu điều đó có nghĩa là Apple có thể phát hiện mối đe dọa nhưng không gỡ bỏ hay ngăn chặn, rồi lặng lẽ chờ vài tháng trước khi thông báo cho người dùng, thì tôi không biết gọi đó là gì nếu không phải là diễn trò bảo mật
Điểm thú vị là lần lây nhiễm đầu tiên trùng với một chiến dịch Pegasus đã biết trước đó, nhắm vào các nhà báo và nhà hoạt động lưu vong nói tiếng Nga và tiếng Belarus ở châu Âu
Câu hỏi là khách hàng Pegasus nào có “quyền giám sát ở nhiều quốc gia châu Âu”
Một bài viết cũ [0] về vụ người Nga lưu vong được nhắc đến nói rằng Hà Lan và Estonia đã dùng Pegasus bên ngoài biên giới của họ, nhưng cũng có thể còn những bên khác sở hữu giấy phép như vậy
Nếu vụ người Nga lưu vong và vụ Kouloglou được liên kết bằng cùng một phương thức tấn công, thì một nước như Estonia có vẻ hợp lý hơn. Tuy vậy, luôn có khả năng một cơ quan có quyền truy cập Pegasus đã hợp tác với, hoặc sử dụng thay cho, một cơ quan không có quyền đó
[0] https://www.accessnow.org/publication/hacking-meduza-pegasus...
Tôi nghĩ đây có thể là vấn đề từ các lựa chọn kiến trúc phần mềm như kernel đơn khối lớn, các dịch vụ đo từ xa/marketing không cần thiết, API kế thừa, ngôn ngữ không an toàn như C, và thiếu phân tích tĩnh
Điện thoại nên được xem như vùng đất đã bị nhiễm độc, và không nên đặt những thứ quan trọng trên đó
Một số nhà lãnh đạo thậm chí không dùng smartphone, nên được bảo vệ khỏi spyware điện tử
Một số ngân hàng, dịch vụ chat, hẹn hò, Uber và các dịch vụ tương tự chỉ hỗ trợ trên di động
Vào khoảng thời gian đó, điện thoại của nhiều chính trị gia Hy Lạp đã bị Pegasus hack
Ở Hy Lạp, đây là một bê bối vẫn chưa được giải quyết hoàn toàn, và mọi bằng chứng đều chỉ ra đây là chiến dịch do văn phòng thủ tướng phối hợp với cơ quan tình báo trong nước thực hiện
Vì vậy tôi không cho rằng có thể gọi đây là một cuộc tấn công nhằm vào Nghị viện châu Âu
https://notesfrompoland.com/2026/02/26/poland-charges-former...
Khi trong tay có cái búa, mọi thứ trông đều như cái đinh
Điều thú vị là vụ này ám chỉ rằng cả thông tin y tế cá nhân mật lẫn tài liệu mật của chính phủ đều có thể đã bị rò rỉ qua cùng một chiếc điện thoại
Nghị viện châu Âu không có chính sách tách thiết bị công việc và thiết bị cá nhân sao?
Nghĩ đến việc thời gian làm việc và thời gian cá nhân thường xuyên bị nhập nhằng thì cũng dễ hiểu
Thông tin y tế không nằm sẵn trong điện thoại
Các nghị sĩ Nghị viện châu Âu đến từ Catalunya cũng từng là mục tiêu của Pegasus; tôi không nhớ chi tiết, nhưng khi đó khách hàng chỉ là các quốc gia, nên về cơ bản Tây Ban Nha đã thuê dịch vụ này
Chẳng có chuyện gì xảy ra cả
Có vẻ sắp tới họ sẽ vội vàng thông qua một luật buộc ai đó phải làm gì đó, hoặc phạt thật nặng ai đó để nhanh chóng khép lại chuyện này
Phải có ai đó chịu trách nhiệm
Lockdown Mode của iOS có thể chặn được chuyện này không?
Tuy nhiên để giảm bề mặt tấn công, smartphone sẽ bị cố ý biến thành một chiếc điện thoại rất “ngớ ngẩn”
Trường hợp thực tế phù hợp là khi bạn chỉ cần một thiết bị đơn giản để gửi/nhận tin nhắn, gọi điện qua mạng điện thoại thông thường và xem giờ
Xét trong bối cảnh, một số quốc gia châu Âu đã lạm dụng spyware như Pegasus đến mức các công ty Israel phải cắt quan hệ, và trường hợp Italy dưới đây là một ví dụ
Những người khác cũng đã nhắc đến Hy Lạp và Ba Lan
Thật nực cười khi một nghị sĩ Nghị viện châu Âu trở thành đối tượng bị giám sát giống như các nhà báo, nhà hoạt động vô tội, và có lẽ cả người dân bình thường
Lại còn do các quốc gia thành viên EU thực hiện, theo cách trực tiếp góp phần vào việc phát triển và phát tán mã độc của các công ty Israel
https://www.bbc.com/news/articles/cvgmzdjw24yo
Tôi đoán sản phẩm vẫn sẽ được cung cấp cho cùng những người đó thông qua các đại lý cấp dưới khác