Avrupa Parlamentosu'nun casus yazılımı soruşturan PEGA komitesinin üyesi Stelios Kouloglou'nun 2022 ve 2023'te NSO Group'un Pegasus yazılımıyla hacklendesi, AB kurumlarında alarm zilleri çaldırdı. Citizen Lab'ın yaptığı adli tıp incelemesine göre, Yunan eski milletvekili komitedeki görevini sürdürürken iki kez bulaştırıldı.

İncelemeci Kendisi Hedef Oldu

Kouloglou'nun enfeksiyonları Ekim 2022 ve Mart 2023'te gerçekleşti. Pegasus'un arkasındaki saldırgan hala bilinmiyor; ancak Citizen Lab, Yunan hükümetinin sorumlu olduğuna dair bir belirti olmadığını belirtiyor. Kullanılan e-posta adresi daha önceki Avrupa genelindeki gazeteci hedeflemeleriyle bağlantılı görülüyor; bu da NSO Group'un casus yazılımını birden fazla ülkede kullanma yetkisine sahip birinin devrede olduğunu işaret ediyor.

Gizli Belgelere Erişim Riski

Saldırganlar, PEGA komitesinin gizli dökümanlarına ve iç görüşmelerine ulaşabilmiş olabilir. AB parlamenterleri olayı demokrasiye karşı bir saldırı olarak nitelendiriyor. Avrupa Komisyonu'nun yorum talebine yanıt vermemesi ve 2023 yılında PEGA komitesinin yaptığı tavsiyelere henüz cevap vermemesi, sivil toplum kuruluşlarının ve milletvekillerinin tepkisini artırdı.

Örüntü Devam Ediyor

Imza atan kuruluşlar, Avrupa genelinde casus yazılım skandallarının bir desenini vurguluyor: sürgündeki gazetecilerin Letonya, Litvanya ve Polonya'da hedef alınması, Meclis Başkanı'nın Predator yazılımıyla takip edilmesi, İtalya'daki Graphite bulaştırmaları. AB bütçesinden casus yazılım endüstrisine para aktarıldığı de biliniyor. Dual-use ihracat kontrolleri etkisiz kalıyor; kaçak Bulgar ihracat lisansları, baskıcı yönetimlere verilen izinleri ortaya koymuş.

Ne anlama geliyor?

Casus yazılım, hükümet tarafından yetkilendirilen özel gözetleme araçlarıdır ve yasal çerçevelerde düşmanlarını izlemek için kullanılır. Ancak Pegasus gibi yazılımlar, hedef seçiminde devlet otoritesinin kötüye kullanımına karşı hiçbir teknik koruma sunmaz; hangi hedefin haklı, hangisinin haksız olduğu insan kararıdır. Bir ülkede yasallaştırılan yazılım başka bir ülkede gazetecileri veya muhalif siyasileri bastırmak için de kullanılabilir.

Kouloglou'nun durumu, AB'nin kendi düzenlemelerini uygulamadaki zafiyetini gösteriyor. Kurum, resmi olarak casus yazılım satıcılarını düzenlemesi gerekir; fakat bazı durumlarda onları finansmanlı olarak destekledi. İhracat kuralları kağıtta katı görünse de, uygulamada gözlemci ülkeler rahatça lisans alıyor. Türkiye'de de benzeri yaşamlar ve Pegasus'a ilişkin açık hukuki çerçeve olmadığı için, insanlar bu tür araçlardan korunmasız kalır.