Υποκλοπές PEGASUS και PREDATOR: Όταν το κινητό γίνεται όπλο παρακολούθησης και η λογοδοσία μένει πίσω

Του Κώστα Αγγελάκη*

Υπάρχουν ειδήσεις που απλώς προσθέτουν ένα ακόμη επεισόδιο σε μια παλιά υπόθεση.

Και υπάρχουν ειδήσεις που μας υποχρεώνουν να ξανακοιτάξουμε ολόκληρη την εικόνα.

Η μήνυση που κατέθεσε σήμερα, 28 Σεπτεμβρίου 2026, ο δημοσιογράφος και πρώην ευρωβουλευτής Στέλιος Κούλογλου για την παγίδευση του κινητού του με το ισραηλινό κατασκοπευτικό λογισμικό Pegasus της NSO Group ανήκει μάλλον στη δεύτερη κατηγορία. (ERTNews)

Ο Κούλογλου προσέφυγε στην Εισαγγελία Πρωτοδικών Αθηνών κατά των υπευθύνων της κατασκευάστριας εταιρείας, αποδίδοντας, μέσω της μήνυσής του, αδικήματα κακουργηματικού και πλημμεληματικού χαρακτήρα.

Και η υπόθεση έχει μια σχεδόν κινηματογραφική ειρωνεία.

Ο άνθρωπος που παρακολουθήθηκε δεν ήταν απλώς ευρωβουλευτής και δημοσιογράφος.

Ήταν αναπληρωματικό μέλος της ειδικής εξεταστικής επιτροπής PEGA του Ευρωπαϊκού Κοινοβουλίου, της επιτροπής που είχε συσταθεί ακριβώς για να ερευνήσει τη χρήση του Pegasus και άλλων αντίστοιχων κατασκοπευτικών λογισμικών στην Ευρώπη. (Ευρωπαϊκό Κοινοβούλιο)

Ενώ το Ευρωπαϊκό Κοινοβούλιο ερευνούσε τα spyware, κάποιος παρακολουθούσε με spyware έναν από τους ανθρώπους που συμμετείχαν στην έρευνα.

Το Citizen Lab βρήκε το Pegasus μέσα στο τηλέφωνο

Στις 3 Ιουλίου 2026, το Citizen Lab του Πανεπιστημίου του Τορόντο δημοσίευσε την Έκθεση υπ’ αριθμόν 194, με τον εξαιρετικά εύγλωττο τίτλο Espionage Against the European Parliament. (Citizen Lab)

Η ψηφιακή εγκληματολογική εξέταση του iPhone του Κούλογλου έδειξε, με υψηλό βαθμό βεβαιότητας, επιτυχή μόλυνση με Pegasus περίπου στις 21 Οκτωβρίου 2022 και νέα δραστηριότητα του λογισμικού στις 6 και 7 Μαρτίου 2023.

Οι ημερομηνίες συμπίπτουν με περίοδο έντονης δραστηριότητας της PEGA και, σύμφωνα με το Citizen Lab, ο επιτιθέμενος θα μπορούσε να έχει αποκτήσει πρόσβαση ακόμη και σε μη δημόσιες πληροφορίες, έγγραφα και συζητήσεις της επιτροπής.

Αυτό είναι εξαιρετικά σοβαρό.

Αλλά εδώ χρειάζεται η πρώτη μεγάλη υπογράμμιση.

Το Citizen Lab δεν αποδίδει την επίθεση στην ελληνική κυβέρνηση.

Αντίθετα, δηλώνει ρητά ότι δεν διαθέτει στοιχεία που να δείχνουν ότι η ελληνική κυβέρνηση ευθύνεται για τις μολύνσεις και επισημαίνει ότι η πρώτη επίθεση παρουσιάζει τεχνική συσχέτιση με Pegasus operator που είχε στοχοποιήσει Ρώσους και Λευκορώσους δημοσιογράφους και ακτιβιστές σε ευρωπαϊκό έδαφος.

Επομένως, όποιος θέλει να είναι σοβαρός δεν μπορεί σήμερα να γράψει ότι «η Ελλάδα παρακολουθούσε τον Κούλογλου με Pegasus». Δεν έχει αποδειχθεί.

Ποιος είχε τη δυνατότητα να μολύνει επανειλημμένα με Pegasus το τηλέφωνο ενός Έλληνα ευρωβουλευτή σε Ελλάδα και Βέλγιο, την ώρα που αυτός συμμετείχε στην ευρωπαϊκή έρευνα για τα spyware;

Το τρομακτικό στοιχείο: ο Κούλογλου δεν χρειαζόταν να κάνει κανένα λάθος

Η περίπτωση Κούλογλου δείχνει και γιατί η συζήτηση για τα σύγχρονα spyware έχει περάσει σε εντελώς διαφορετικό επίπεδο.

Το Citizen Lab εκτιμά ότι η πρώτη μόλυνση έγινε μέσω του exploit PWNYOURHOME.

Πρόκειται για zero–click τεχνική. Δεν χρειαζόταν να ανοίξει ο Κούλογλου κάποιο ύποπτο SMS. Δεν χρειαζόταν να πατήσει κάποιο link. Δεν χρειαζόταν να εγκαταστήσει εφαρμογή.

Στην περίπτωση του Οκτωβρίου 2022, το Citizen Lab εντόπισε αρχικά αλληλεπίδραση μέσω του Apple HomeKit και αμέσως μετά κακόβουλη δραστηριότητα που συνδεόταν με την υπηρεσία MessagesBlastDoorService. Δύο λεπτά μετά το σχετικό συμβάν, διαδικασία του Pegasus άρχισε να χρησιμοποιεί δεδομένα κινητής τηλεφωνίας.

Αυτό ακριβώς είναι το σημείο στο οποίο το spyware παύει να είναι πρόβλημα «απρόσεκτων χρηστών». Δεν υπάρχει απαραίτητα ανθρώπινο λάθος για να διορθωθεί.

Pegasus: ένα κινητό που παύει ουσιαστικά να ανήκει στον κάτοχό του

Το Pegasus, προϊόν της ισραηλινής NSO Group, είναι μια ολοκληρωμένη πλατφόρμα επιθετικής παρακολούθησης.

Οι τεχνικές του έχουν εξελιχθεί από κλασικές επιθέσεις ενός click σε προηγμένες επιθέσεις zero-click, network injection και άλλους μηχανισμούς που επιλέγονται ανάλογα με τη συσκευή και το λειτουργικό σύστημα του στόχου. Πρόσφατη τεχνική ανάλυση της Amnesty International, βασισμένη και σε εσωτερικά έγγραφα της NSO που αποκαλύφθηκαν στη δικαστική διαμάχη WhatsApp–NSO, δείχνει ότι το σύστημα διακρίνει ακόμη και μεταξύ «Covert» zero-click και «Triggered» one-click τεχνικών. (Amnesty Security Lab)

Μόλις εγκατασταθεί, ο χειριστής μπορεί να αποκτήσει ουσιαστικά πλήρη πρόσβαση στη συσκευή… Μηνύματα, φωτογραφίες, αρχεία, γεωεντοπισμό, αποθηκευμένα δεδομένα και, ανάλογα με την έκδοση και τις δυνατότητες, να ενεργοποιήσει μικρόφωνο και κάμερα ή να πραγματοποιήσει screenshots και άλλες ενεργές ενέργειες.

Και εδώ υπάρχει μια σημαντική τεχνική λεπτομέρεια.

Το Pegasus δεν χρειάζεται να «σπάσει» την κρυπτογράφηση του Signal, του WhatsApp ή μιας άλλης end–to–end encrypted εφαρμογής. Παρακάμπτει το πρόβλημα καταλαμβάνοντας το ίδιο το endpoint.

Αν ελέγχει το τηλέφωνο, μπορεί να δει το μήνυμα αφού αποκρυπτογραφηθεί για να το διαβάσει ο χρήστης. Η κρυπτογράφηση μπορεί να παραμένει μαθηματικά ασφαλής και ο χρήστης να έχει χάσει ήδη ολόκληρη τη συσκευή του.

Και το Predator;

Το Predator ανήκει σε διαφορετικό εταιρικό οικοσύστημα.

Συνδέεται με τη Cytrox και στη συνέχεια με την Intellexa Alliance, το δίκτυο εταιρειών που βρέθηκε στο κέντρο της ελληνικής υπόθεσης υποκλοπών.

Τεχνικά, Predator και Pegasus δεν είναι το ίδιο προϊόν. Δεν χρησιμοποιούν κατ’ ανάγκη τους ίδιους exploits, την ίδια υποδομή ή τις ίδιες μεθόδους μόλυνσης.

Ο βασικός Predator που έχει τεκμηριωθεί δημόσια βασίστηκε σε μεγάλο βαθμό σε one-click browser exploits… Ο στόχος λαμβάνει έναν ειδικά κατασκευασμένο σύνδεσμο, τον ανοίγει και ξεκινά η αλυσίδα εκμετάλλευσης που οδηγεί στην εγκατάσταση του spyware. (Amnesty Security Lab)

Αυτό όμως είναι μόνο η μισή εικόνα.

Η Intellexa δημιούργησε γύρω από το Predator ένα ολόκληρο οικοσύστημα παράδοσης: Mars, Jupiter, tactical Wi-Fi/GSM και network injection, που μπορεί υπό συγκεκριμένες συνθήκες να μετατρέψει ένα κλασικό browser exploit σε πρακτικά αόρατη μόλυνση χωρίς το θύμα να πατήσει τον κακόβουλο σύνδεσμο που του έστειλε ο δράστης. Το Mars, για παράδειγμα, μπορεί να ανακατευθύνει δικτυακή κίνηση του στόχου προς server μόλυνσης όταν ο χειριστής διαθέτει την απαραίτητη πρόσβαση στο δίκτυο.

Άρα η απλοϊκή εξίσωση «Pegasus ίσον zero-click, Predator ίσον click» δεν είναι πλέον τεχνικά επαρκής.

Η βασική διαφορά είναι περισσότερο η αρχιτεκτονική, ο vendor, οι διαθέσιμοι infection vectors και το επιχειρησιακό οικοσύστημα.

Το αποτέλεσμα για τον στόχο είναι εντυπωσιακά παρόμοιο… Πλήρης ή σχεδόν πλήρης ψηφιακή επιτήρηση ενός ανθρώπου μέσω της συσκευής που κουβαλά συνεχώς μαζί του.

Και τι γίνεται με το ελληνικό Predator;

Εδώ η συζήτηση περνά από την τεχνική στην πολιτική και δικαστική πραγματικότητα.

Στις 26 Φεβρουαρίου 2026, ελληνικό δικαστήριο καταδίκασε σε πρώτο βαθμό τους Ταλ Ντίλιαν, Σάρα Χαμού, Φέλιξ Μπίτζιο και Γιάννη Λαβράνο για αδικήματα που αφορούν παραβίαση του απορρήτου και παράνομη πρόσβαση σε δεδομένα. (Έκθεση Κράτους Δικαίου 2026)

Η Ευρωπαϊκή Επιτροπή καταγράφει στην Έκθεση για το Κράτος Δικαίου του 2026 ότι το δικαστήριο θεώρησε τεκμηριωμένες 87 περιπτώσεις στοχοποίησης και διαβίβασε τα πρακτικά ώστε να διερευνηθούν ευρύτερα αδικήματα και πιθανή εμπλοκή επιπλέον προσώπων. Οι τέσσερις έχουν ασκήσει έφεση.

Η δίκη σε δεύτερο βαθμό έχει προσδιοριστεί για τις 11 Δεκεμβρίου 2026. (OT.gr)

Θα ήταν λοιπόν ανακριβές να λέγεται ότι «η Δικαιοσύνη δεν έκανε τίποτα». Έκανε. Υπήρξαν καταδίκες. Αλλά αυτή είναι μόνο η μία πλευρά της υπόθεσης.

Το άλλο μισό της εικόνας βρίσκεται στον Άρειο Πάγο

Το ευρύτερο ερώτημα ήταν και παραμένει ποιος βρισκόταν πίσω από την επιχειρησιακή χρήση του Predator και αν υπήρξε σύνδεση με κρατικούς μηχανισμούς.

Η εισαγγελική έρευνα του Αρείου Πάγου είχε καταλήξει ότι δεν προέκυπτε ευθύνη ελληνικών κρατικών υπηρεσιών ή πολιτικών προσώπων.

Τον Απρίλιο του 2026, ο Εισαγγελέας του Αρείου Πάγου αρνήθηκε να ανασύρει την αρχειοθετημένη υπόθεση, κρίνοντας ότι τα στοιχεία που κατατέθηκαν δεν κάλυπταν το απαιτούμενο όριο για «νέα πραγματικά περιστατικά». Η Ευρωπαϊκή Επιτροπή καταγράφει ότι η απόφαση προκάλεσε αντιδράσεις δημοσιογράφων, θυμάτων, δικηγόρων, κομμάτων της αντιπολίτευσης και οργανώσεων της κοινωνίας των πολιτών. Καταγράφει επίσης ότι επιμέρους εισαγγελικές έρευνες συνέχιζαν να βρίσκονται σε εξέλιξη.

Εδώ βρίσκεται ένα από τα βασικά προβλήματα δημόσιας εμπιστοσύνης.

Μπορούν ταυτόχρονα να είναι αληθή δύο πράγματα… Ότι ένα πολύμηνης διάκειας δικαστήριο καταδίκασε συγκεκριμένους ιδιώτες και ότι μια διαφορετική εισαγγελική έρευνα δεν βρήκε επαρκή στοιχεία κρατικής εμπλοκής.

Αλλά το δεύτερο συμπέρασμα πρέπει να μπορεί να αντέξει όχι μόνο νομικά, αλλά και απέναντι στα νέα πραγματικά περιστατικά που εμφανίζονται.

Όταν μηνύει εν ενεργεία στέλεχος της ίδιας της ΕΥΠ

Την 1η Σεπτεμβρίου 2026, ο εν ενεργεία ανώτερος υπάλληλος της ΕΥΠ Γ.Π. κατέθεσε μήνυση κατά των τεσσάρων πρωτοδίκως καταδικασθέντων, ζητώντας να διερευνηθεί, μεταξύ άλλων, και Κατασκοπεία σε βάρος της χώρας. (Το Βήμα)

Το σκεπτικό που προβάλλει είναι ιδιαίτερα σοβαρό. Λόγω των καθηκόντων του είχε πρόσβαση σε διαβαθμισμένες πληροφορίες Εθνικής Ασφάλειας και, κατά συνέπεια, η παραβίαση ενός τηλεφώνου που χρησιμοποιούσε θα μπορούσε να έχει πολύ διαφορετική διάσταση από μια «απλή» παράνομη παρακολούθηση ιδιώτη. Πρόκειται για ισχυρισμό του μηνυτή που πρέπει να ερευνηθεί, όχι για ήδη αποδεδειγμένη Κατασκοπεία.

Μέχρι σήμερα δεν έχει δημοσιοποιηθεί νέα ποινική δίωξη που να προκύπτει από τη συγκεκριμένη μήνυση.

Αλλά το ερώτημα δεν μπορεί πλέον να αντιμετωπίζεται σαν να μην έχει τεθεί.

Ένας άνθρωπος της ίδιας της ΕΥΠ ζητά από τη Δικαιοσύνη να εξετάσει αν η μόλυνση τηλεφώνου του αποτελούσε πράξη Κατασκοπείας.

Κουκάκης: ΣτΕ και Στρασβούργο

Με την απόφαση 709/2026, η Ολομέλεια του Συμβουλίου της Επικρατείας διέταξε την ΕΥΠ να διαβιβάσει τον φάκελο της άρσης του απορρήτου του δημοσιογράφου Θανάση Κουκάκη. Το ΣτΕ έκρινε ότι απαιτείται ο πλήρης φάκελος για αποτελεσματικό δικαστικό έλεγχο των μέτρων παρακολούθησης. (Καθημερινή)

Στις 25 Αυγούστου 2026, ο Κουκάκης προσέφυγε επίσης στο Ευρωπαϊκό Δικαστήριο Δικαιωμάτων του Ανθρώπου, θέτοντας ζητήματα σχετικά με την αποτελεσματικότητα και αμεροληψία της διερεύνησης της παρακολούθησής του τόσο από την ΕΥΠ όσο και μέσω Predator. Η προσφυγή εκκρεμεί. Δεν υπάρχει ακόμη απόφαση του ΕΔΔΑ. (IBNA)

Έχουμε λοιπόν Εφετείο, Συμβούλιο της Επικρατείας, επιμέρους εισαγγελικές έρευνες, νέα μήνυση εν ενεργεία στελέχους της ΕΥΠ και προσφυγές στο Στρασβούργο.

Η υπόθεση κάθε άλλο παρά δικαστικά τελειωμένη είναι.

Και τώρα εμφανίζεται και το Pegasus στην ελληνική Εισαγγελία

Η σημερινή μήνυση Κούλογλου προσθέτει ένα εντελώς διαφορετικό σκέλος.

Δεν έχουμε Intellexa. Δεν έχουμε Predator. Έχουμε NSO Group και Pegasus.

Και αυτή τη φορά διαθέτουμε ένα εξαιρετικά ισχυρό τεχνικό σημείο εκκίνησης: την ανεξάρτητη forensic ανάλυση του Citizen Lab.

Το κρίσιμο ζητούμενο πλέον είναι η απόδοση του operator.

Ποιος ήταν ο πελάτης που είχε την άδεια να χρησιμοποιεί το συγκεκριμένο Pegasus infrastructure; Ποιος έδωσε την εντολή στοχοποίησης; Γιατί οι μολύνσεις συνέπεσαν χρονικά με τη συμμετοχή Κούλογλου στις εργασίες της PEGA; Τι δεδομένα εξήχθησαν;

Το Citizen Lab θεωρεί ότι η παρουσία της μόλυνσης σε τουλάχιστον δύο ευρωπαϊκές δικαιοδοσίες, Ελλάδα και Βέλγιο, παραπέμπει πιθανότατα σε πελάτη του Pegasus που είχε άδεια για επιχειρήσεις σε περισσότερες από μία ευρωπαϊκές χώρες.

Αυτή είναι μία έρευνα που δεν μπορεί να γίνει μόνο με κατάθεση του θύματος. Χρειάζεται διεθνής δικαστική συνδρομή, τεχνικά στοιχεία, δεδομένα από την Apple, πληροφορίες από την NSO και τις αρμόδιες ισραηλινές αρχές και αξιοποίηση των indicators που έχει ήδη προσφέρει το Citizen Lab.

Τι έχει κάνει η κυβέρνηση Μητσοτάκη;

Εδώ χρειάζεται να ξεχωρίσουμε την πολιτική κριτική από την πραγματικότητα.

Μετά το ξέσπασμα της υπόθεσης, ψηφίστηκε ο ν. 5002/2022. Ο νόμος ποινικοποίησε την παραγωγή, πώληση, προμήθεια, κατοχή, εισαγωγή, εξαγωγή και διακίνηση λογισμικών παρακολούθησης χωρίς δικαίωμα και προέβλεψε ειδικό πλαίσιο για πιθανή προμήθειά τους από κρατικούς φορείς. Προέβλεψε επίσης κατάλογο λογισμικών παρακολούθησης και υποχρέωση ενημέρωσης για τον τρόπο δράσης και την προστασία από αυτά. (ν. 5002/2022)

Η κυβέρνηση επίσης υποστηρίζει ότι η λειτουργία της ΕΥΠ έχει αλλάξει ουσιαστικά μετά το 2022 και ότι είχαν αναληφθεί πολιτικές ευθύνες.

Ο ίδιος ο Κυριάκος Μητσοτάκης δήλωσε τον Ιούνιο ότι αναγνώρισε «ευθύνες δυσλειτουργίας», ότι απομακρύνθηκαν πρόσωπα και ότι η λειτουργία της ΕΥΠ άλλαξε δραστικά. Στη ΔΕΘ, στις 7 Σεπτεμβρίου, όταν ερωτήθηκε ξανά για το Predator, απάντησε ουσιαστικά ότι έχει εξαντλήσει όσα έχει να πει για την υπόθεση. (Γραφείο Πρωθυπουργού)

Αυτή είναι η κυβερνητική θέση.

Το πρόβλημα είναι ότι η πολιτική διαχείριση δεν εξαντλείται στο ερώτημα αν θα καταδικαστεί ένας ιδιώτης στο Εφετείο.

Η Δικαιοσύνη δεν υποκαθιστά την κυβερνητική ευθύνη για την Κυβερνοασφάλεια

Η κυβέρνηση μπορεί εύλογα να υποστηρίζει ότι δεν επιτρέπεται να παρεμβαίνει στις δικαστικές έρευνες. Σωστά.

Αλλά άλλο η παρέμβαση στη Δικαιοσύνη και άλλο η ευθύνη της εκτελεστικής εξουσίας να οικοδομήσει μηχανισμό άμυνας απέναντι σε mercenary spyware.

Η σημερινή περίπτωση Κούλογλου θέτει ακριβώς αυτό το ερώτημα.

Υπάρχει στη χώρα συγκεκριμένο πρωτόκολλο για το τι συμβαίνει όταν πολιτικός, διπλωμάτης, στρατιωτικός, στέλεχος κρίσιμης κρατικής υπηρεσίας ή δημοσιογράφος διαπιστώνεται ότι έχει μολυνθεί με zero–click spyware;

Ποιος παραλαμβάνει τη συσκευή; Ποιος κάνει forensic acquisition; Πώς διατηρείται το chain of custody; Ποιος ενημερώνει τις ευρωπαϊκές Αρχές; Ποιος εξετάζει πιθανή διαρροή διαβαθμισμένων δεδομένων; Ποιος ειδοποιεί άλλους δυνητικούς στόχους; Και ποιος πραγματοποιεί counterintelligence assessment για να διαπιστώσει τι ακριβώς μπορεί να έχει διαρρεύσει;

Αυτά είναι ζητήματα κρατικής ασφάλειας και κυβερνοάμυνας. Δεν μπορούν να περιμένουν την τελεσιδικία μιας ποινικής υπόθεσης.

Ο δικηγόρος Ζαχαρίας Κεσσές υποστηρίζει ότι η Ελλάδα παραμένει χωρίς επαρκή μηχανισμό έγκαιρης ανίχνευσης και προστασίας θυμάτων. Αυτό αποτελεί δική του αξιολόγηση και όχι θεσμικά διαπιστωμένο γεγονός. Μέχρι το απόγευμα της 28ης Σεπτεμβρίου, πάντως, δεν είχε εντοπιστεί δημόσια ανακοίνωση της κυβέρνησης ή της Εθνικής Αρχής Κυβερνοασφάλειας ειδικά για τη σημερινή μήνυση και τα ευρήματα Pegasus του Κούλογλου.

Ένα ακόμη παράδοξο του ν. 5002/2022

Ο νόμος του 2022 προέβλεψε ότι εντός τριών μηνών θα εκδιδόταν Προεδρικό Διάταγμα που θα καθόριζε υπό ποιες προϋποθέσεις κρατικές δομές μπορούν να προμηθεύονται λογισμικά παρακολούθησης. (άρθρο 13 ν. 5002/2022)

Τον Μάρτιο του 2026, όμως, η Ευρωπαϊκή Επιτροπή εξακολουθούσε να υπενθυμίζει δημόσια ότι, σύμφωνα με την τελευταία επίσημη καταγραφή της, το συγκεκριμένο Προεδρικό Διάταγμα δεν είχε ακόμη υιοθετηθεί. (Ευρωπαϊκό Κοινοβούλιο)

Δεν είχε εντοπιστεί μέχρι την 28η Σεπτεμβρίου 2026 νεότερη επίσημη δημοσίευση που να τεκμηριώνει ότι το Προεδρικό Διάταγμα του άρθρου 13 είχε πλέον τεθεί σε ισχύ.

Τέσσερα χρόνια μετά την έναρξη της κρίσης των υποκλοπών, αυτό είναι ένα ζήτημα που χρειάζεται σαφή επίσημη απάντηση.

Και η Ευρώπη; Τρία χρόνια μετά, επαναλαμβάνει σχεδόν τα ίδια

Στις 8 Μαΐου 2023, η επιτροπή PEGA του Ευρωπαϊκού Κοινοβουλίου προειδοποιούσε ότι spyware είχε χρησιμοποιηθεί στην Ευρώπη για παρακολούθηση και εκφοβισμό πολιτικών αντιπάλων, δημοσιογράφων και κοινωνίας των πολιτών και ζητούσε πολύ αυστηρούς όρους χρήσης. (PEGA, 08/05/2023)

Έναν μήνα αργότερα, το Ευρωπαϊκό Κοινοβούλιο υιοθέτησε τις τελικές συστάσεις του με 411 ψήφους υπέρ, 97 κατά και 37 αποχές. Για την Ελλάδα ζητούσε ενίσχυση των θεσμικών εγγυήσεων, ανεμπόδιστη διερεύνηση των καταγγελιών spyware, ισχυρότερη ανεξάρτητη εποπτεία, προστασία της ανεξαρτησίας της ΑΔΑΕ και αλλαγές στον ν. 5002/2022 ως προς την ενημέρωση των παρακολουθούμενων. (Ευρωπαϊκό Κοινοβούλιο)

Αύριο η Ελλάδα ξανά στο Συμβούλιο της Ευρώπης

Στις 10 Σεπτεμβρίου 2026, η Επιτροπή Παρακολούθησης της Κοινοβουλευτικής Συνέλευσης του Συμβουλίου της Ευρώπης δημοσίευσε τη νέα έκθεση Doc. 16470 για την Ελλάδα. (PACE Doc. 16470)

Το σχέδιο ψηφίσματος επαναφέρει τρία βασικά αιτήματα. Να ενημερώσει η Ελλάδα την ΚΣΣΕ και την Επιτροπή της Βενετίας για τη χρήση Predator, να πραγματοποιούνται αποτελεσματικές, ανεξάρτητες και ταχείες έρευνες για όλες τις επιβεβαιωμένες και καταγγελλόμενες καταχρήσεις, και να μην χρησιμοποιείται γενικευμένη επίκληση απορρήτου για να εμποδίζεται η πρόσβαση των ελεγκτικών θεσμών και των θυμάτων σε πληροφορίες.

Τα ίδια βασικά αιτήματα είχαν διατυπωθεί από το Συμβούλιο της Ευρώπης ήδη το 2023. (PACE 2023)

Στις 29 Σεπτεμβρίου 2026, η έκθεση για την Ελλάδα είναι προγραμματισμένη για συζήτηση στην Ολομέλεια της Κοινοβουλευτικής Συνέλευσης και θα τεθεί σε ψηφοφορία το σχέδιο ψηφίσματος. (Ημερήσια διάταξη PACE)

Δεν πρόκειται λοιπόν απλώς για «κριτική της αντιπολίτευσης». Πρόκειται για ένα ευρωπαϊκό θεσμικό όργανο που, τρία χρόνια μετά την πρώτη σχετική απόφασή του, θεωρεί ότι υπάρχει λόγος να επαναλάβει ουσιαστικά τις ίδιες απαιτήσεις.

Η Ευρωπαϊκή Επιτροπή επίσης δεν θεωρεί ότι το ζήτημα έχει εξαφανιστεί

Στην Έκθεση Κράτους Δικαίου 2026, η Ευρωπαϊκή Επιτροπή γράφει ότι ο δικαστικός έλεγχος πτυχών της χρήσης spyware στην Ελλάδα συνεχίζεται.

Καταγράφει τις πρωτόδικες καταδίκες, την αποστολή στοιχείων για περαιτέρω διερεύνηση, την έφεση του Δεκεμβρίου, την άρνηση του Αρείου Πάγου να ανοίξει ξανά συγκεκριμένο σκέλος, τις αντιδράσεις που προκάλεσε αυτή η απόφαση και τις επιμέρους έρευνες που συνεχίζονται.

Η εικόνα λοιπόν δεν είναι ούτε «όλα αποδείχθηκαν» ούτε «όλα έκλεισαν». Είναι πολύ πιο σύνθετη.

Η Ευρώπη έχει πλέον και νέο νομικό όπλο

Από τον Αύγουστο του 2025 εφαρμόζονται οι περισσότερες διατάξεις του European Media Freedom Act. (Κανονισμός (ΕΕ) 2024/1083)

Ο ευρωπαϊκός κανονισμός εισάγει ειδικές εγγυήσεις κατά της χρήσης παρεμβατικού λογισμικού παρακολούθησης εναντίον δημοσιογράφων, συντακτικών ομάδων και ανθρώπων που μπορούν να αποκαλύψουν δημοσιογραφικές πηγές. Οι εξαιρέσεις είναι περιορισμένες και υπόκεινται σε αυστηρές προϋποθέσεις, αναγκαιότητα, αναλογικότητα και δικαστική ή αντίστοιχη ανεξάρτητη έγκριση.

Και η ίδια η ευρωπαϊκή νομοθεσία περιγράφει το spyware ως λογισμικό που μπορεί να ενεργοποιεί μικρόφωνα, να καταγράφει εικόνα, να αντιγράφει μηνύματα, να αποκτά πρόσβαση σε κρυπτογραφημένο περιεχόμενο, να καταγράφει browsing και γεωεντοπισμό.

Άρα η Ευρώπη έχει πλέον καλύτερους κανόνες. Το ερώτημα είναι αν διαθέτει εξίσου αποτελεσματικούς μηχανισμούς εφαρμογής τους.

Pegasus και Predator: δύο εταιρείες, ίδιο δημοκρατικό πρόβλημα

Δεν πρέπει να συγχέουμε τα δύο συστήματα.

Pegasus: NSO Group.

Predator: Intellexa/Cytrox.

Διαφορετικό λογισμικό. Διαφορετικές εταιρείες. Διαφορετικές υποδομές. Διαφορετικές, αν και εν μέρει συγκλίνουσες, τεχνικές μόλυνσης.

Αλλά το πολιτικό και θεσμικό πρόβλημα είναι κοινό.

Η αγορά ιδιωτικού κατασκοπευτικού λογισμικού έχει πλέον τη δυνατότητα να παρέχει σε έναν κρατικό ή άλλο εξουσιοδοτημένο πελάτη δυνατότητες που πριν από λίγα χρόνια θα απαιτούσαν ολόκληρες Υπηρεσίες Πληροφοριών.

Και το θύμα μπορεί να μην αντιληφθεί ποτέ ότι παρακολουθείται.

Το μεγαλύτερο πρόβλημα δεν είναι τεχνικό

Μπορούμε να διορθώσουμε vulnerabilities. Οι κατασκευαστές κινητών θα διορθώσουν τις σημερινές αδυναμίες. Αύριο όμως οι εταιρείες spyware θα αγοράσουν ή θα αναπτύξουν νέες.

Αυτό είναι ένας μόνιμος τεχνολογικός αγώνας.

Ποιος ελέγχει εκείνον που έχει τη δυνατότητα να μετατρέψει το κινητό ενός πολίτη, ενός δημοσιογράφου, ενός ευρωβουλευτή ή ενός αξιωματικού πληροφοριών σε μόνιμο μικρόφωνο;

Η κυβέρνηση δεν χρειάζεται να αποδείξει ότι «δεν ήταν αυτή»

Στην υπόθεση Κούλογλου δεν υπάρχει σήμερα τεχνικό στοιχείο που να ενοχοποιεί την ελληνική κυβέρνηση. Αυτό πρέπει να ειπωθεί καθαρά.

Αλλά αυτό επίσης δεν εξαντλεί την ευθύνη της Πολιτείας.

Η ελληνική κυβέρνηση δεν χρειάζεται απλώς να λέει ότι δεν χρησιμοποίησε Pegasus.

Χρειάζεται να αποδείξει ότι ένα κράτος μέλος της Ευρωπαϊκής Ένωσης διαθέτει μηχανισμούς ικανούς να εντοπίζουν, να ερευνούν και να αποδίδουν επιθέσεις προηγμένου spyware όταν αυτές πραγματοποιούνται εναντίον των πολιτών, των δημοσιογράφων, των αξιωματούχων και των θεσμών του.

Το ίδιο ισχύει για το Predator.

Η πρωτόδικη καταδίκη τεσσάρων ιδιωτών δεν απαντά αυτομάτως στο ερώτημα ποιος παρήγγειλε κάθε παρακολούθηση, ποιος είχε επιχειρησιακό έλεγχο, πού κατέληξαν τα δεδομένα και αν υπήρχαν άλλοι εμπλεκόμενοι.

Γι’ αυτό ακριβώς το ίδιο το πρωτοβάθμιο δικαστήριο έστειλε υλικό για περαιτέρω διερεύνηση ακόμα και για περίπτωση Κατασκοπείας.

Τέσσερα χρόνια μετά, δεν αρκεί το «η υπόθεση βρίσκεται στη Δικαιοσύνη»

Η ανεξαρτησία της Δικαιοσύνης πρέπει να προστατεύεται.

Αλλά η επίκληση της εκκρεμούς δικαστικής διαδικασίας δεν μπορεί να λειτουργεί ως απάντηση σε κάθε πολιτικό, θεσμικό και κυβερνοαμυντικό ερώτημα.

Άλλο τι θα αποφασίσει ένα ποινικό δικαστήριο για έναν συγκεκριμένο κατηγορούμενο.

Άλλο αν υπάρχει επαρκές θεσμικό πλαίσιο.

Άλλο αν λειτουργεί η ανεξάρτητη εποπτεία.

Άλλο αν υπάρχει εθνικός μηχανισμός αντιμετώπισης mercenary spyware.

Και άλλο αν ένας Έλληνας ευρωβουλευτής μπορεί να παρακολουθείται με zero-click Pegasus ενώ ερευνά το Pegasus στο Ευρωπαϊκό Κοινοβούλιο και η ελληνική Πολιτεία μαθαίνει το περιστατικό χρόνια αργότερα από ένα πανεπιστημιακό εργαστήριο του Καναδά.

Αυτό είναι το σημείο στο οποίο η υπόθεση παύει να αφορά μόνο τον Ανδρουλάκη, τον Κούλογλου, τον Κουκάκη, στελέχη της ΕΥΠ ή οποιονδήποτε άλλο στόχο.

Αφορά την ικανότητα του ίδιου του κράτους να προστατεύει τη δημοκρατική λειτουργία του.

Και κάπου εδώ επιστρέφουμε στο βασικό ερώτημα

Το Pegasus και το Predator δεν είναι απλώς δύο «κακόβουλα προγράμματα». Είναι εμπορικές πλατφόρμες ψηφιακών επιχειρήσεων πληροφοριών.

Μπορούν να εισχωρούν στην πιο προσωπική συσκευή που διαθέτει σήμερα ένας άνθρωπος και, από εκεί, να αποκτούν πρόσβαση στην προσωπική ζωή, στις επαγγελματικές επαφές, στις πηγές ενός δημοσιογράφου, στις συσκέψεις ενός πολιτικού, στις επιχειρήσεις ενός αξιωματικού πληροφοριών και ενδεχομένως σε πληροφορίες εθνικής ασφάλειας.

Γι’ αυτό η υπόθεση των υποκλοπών δεν μπορεί να κλείσει επικοινωνιακά.

Ούτε με μια κυβερνητική δήλωση.

Ούτε με μια εισαγγελική αρχειοθέτηση.

Ούτε ακόμη με μία πρωτόδικη καταδίκη.

Ποιος παρακολουθούσε; Για ποιον; Με ποια εξουσιοδότηση; Και πού κατέληξαν τα δεδομένα;

Στην περίπτωση του Predator, τέσσερα χρόνια μετά, σημαντικά κομμάτια αυτής της απάντησης εξακολουθούν να αμφισβητούνται.

Στην περίπτωση του Pegasus και του Στέλιου Κούλογλου, η έρευνα τώρα αρχίζει.

Και υπάρχει μια τελευταία ειρωνεία που δύσκολα περνά απαρατήρητη.

Στις 29 Σεπτεμβρίου 2026, την επομένη της μήνυσης ενός Έλληνα πρώην ευρωβουλευτή που αποδεδειγμένα μολύνθηκε με Pegasus ενώ συμμετείχε στην PEGA, το Συμβούλιο της Ευρώπης θα συζητήσει ξανά την Ελλάδα και θα κληθεί να ψηφίσει αν πρέπει να επαναλάβει προς τη χώρα μας το αίτημα για αποτελεσματικές, ανεξάρτητες και ταχείες έρευνες για τα spyware.

Τρία χρόνια μετά τις πρώτες ευρωπαϊκές προειδοποιήσεις.

Τέσσερα χρόνια μετά την έκρηξη του Predator.

Και σήμερα με ένα δεύτερο, ακόμη ισχυρότερο τεχνικά σύστημα παρακολούθησης να μπαίνει επισήμως στην ελληνική εισαγγελική πραγματικότητα.

Το ερώτημα δεν είναι πλέον αν η Ευρώπη και η Ελλάδα γνωρίζουν πόσο επικίνδυνα είναι αυτά τα εργαλεία. Το γνωρίζουν. Το ερώτημα είναι αν οι θεσμοί τους μπορούν πράγματι να ελέγξουν εκείνους που τα χρησιμοποιούν.

Σημείωση: Το άρθρο βασίζεται σε στοιχεία διαθέσιμα έως το απόγευμα της 28ης Σεπτεμβρίου 2026. Η τεχνική απόδοση των μολύνσεων Κούλογλου στο Pegasus είναι επιβεβαιωμένη από το Citizen Lab. Η ταυτότητα του operator που πραγματοποίησε τις επιθέσεις δεν έχει δημοσιοποιηθεί και το Citizen Lab δηλώνει ρητά ότι δεν διαθέτει ένδειξη ευθύνης της ελληνικής κυβέρνησης. *Expert Intelligence Specialist, Analyst in International Affairs, Historian, Writer

Tags: PEGAPegasusPREDATORΚΩΣΤΑΣ ΑΓΓΕΛΑΚΗΣΝΙΚΟΣ ΑΝΔΡΟΥΛΑΚΗΣΣΤΕΛΙΟΣ ΚΟΥΛΟΓΛΟΥΥΠΟΚΛΟΠΕΣ