1 eurodéputé visé, 1 commission anti-Pegasus, l’affaire Kouloglou, ce spyware surprend l’Europe

Un ancien eurodéputé, Stelios Kouloglou, a été ciblé par le logiciel espion Pegasus alors qu’il participait à la commission PEGA du Parlement européen. Le cas, documenté par une analyse forensique, illustre le risque de surveillance contre des élus chargés de contrôler ces outils. Au cœur, une question politique simple: comment enquêter sereinement quand l’enquêteur peut être espionné?

Le paradoxe est brutal. L’Union européenne a créé une commission d’enquête pour comprendre qui utilise des logiciels espions, dans quelles conditions, et avec quels garde-fous. Or un membre de ce dispositif a vu son propre téléphone compromis. Dans une démocratie, la surveillance ne vise pas seulement des individus, elle peut aussi atteindre des institutions, leurs procédures, leurs sources et leur capacité à établir des faits.

L’affaire intervient dans un contexte où Pegasus, développé par l’entreprise israélienne NSO Group, symbolise une industrie de la surveillance privée, vendue à des États, qui brouille la frontière entre lutte antiterroriste, police judiciaire et espionnage politique. Le dossier Kouloglou remet au premier plan une autre dimension: l’atteinte potentielle au travail parlementaire, et donc au contrôle démocratique.

Stelios Kouloglou ciblé pendant les travaux de la commission PEGA

La révélation la plus sensible tient au calendrier: Stelios Kouloglou a été visé alors qu’il siégeait au sein de la commission PEGA, créée au Parlement européen pour examiner l’usage de logiciels espions comme Pegasus en Europe ^[4]. Selon Wired, qui s’appuie sur une nouvelle analyse forensique, son iPhone a été compromis par le même outil que la commission cherchait à documenter ^[4].

Le rapport à l’origine de ces éléments émane du Citizen Lab, un groupe de recherche de l’Université de Toronto connu pour ses analyses techniques sur les logiciels de surveillance ^[4]. D’après Wired, le document présente ce cas comme la première identification publique d’un membre de la commission PEGA reconnu victime de Pegasus pendant qu’il travaillait au sein du groupe ^[4].

Ce point n’est pas anecdotique. Une commission d’enquête parlementaire repose sur des auditions, des déplacements, des échanges avec des victimes, des avocats, des ONG, parfois des services nationaux. Si un téléphone est compromis, ce ne sont pas seulement des messages personnels qui peuvent être exposés, mais aussi des informations de travail, des contacts sensibles et une cartographie des interactions politiques.

Wired précise que Kouloglou s’était déplacé pour rencontrer des victimes et examiner des cas à forte visibilité, dans le cadre des travaux de la commission ^[4]. Autrement dit, l’attaque potentielle ne vise pas un élu au hasard: elle peut toucher une fonction, un mandat de contrôle, et le réseau d’informations qui l’alimente.

Citizen Lab, NSO Group et la mécanique d’un piratage politique

Le cas Kouloglou s’inscrit dans une histoire plus large où Pegasus est associé à des opérations de surveillance très difficiles à détecter pour les cibles. Selon la presse qui relaie cette affaire, l’infection aurait pu passer inaperçue sans expertise spécialisée, ce qui alimente une inquiétude centrale: la capacité d’un acteur à espionner un responsable public sans déclencher d’alerte immédiate ^[3].

Le cœur du sujet est technique, mais ses effets sont politiques. Pegasus est régulièrement décrit comme un outil permettant d’accéder à des contenus et usages d’un smartphone, ce qui en fait un instrument de renseignement redoutable quand il vise des profils institutionnels. Dans le cas présent, l’identification repose sur une analyse forensique attribuée à Citizen Lab, et la publication a été présentée comme susceptible de provoquer des remous dans les cercles politiques européens ^[4].

Un élément ressort aussi des réactions rapportées: l’attaque est interprétée comme une atteinte aux principes institutionnels. Wired cite un membre du Parlement européen qualifiant ces révélations d’attaque directe contre l’État de droit ^[4]. La formule est forte, mais elle reflète une réalité opérationnelle: si des élus, ou des équipes travaillant avec eux, peuvent être ciblés pendant une enquête parlementaire, l’équilibre entre pouvoirs, transparence et responsabilité se fragilise.

Dans ce dossier, la présence de NSO Group en arrière-plan concentre aussi un débat récurrent: l’existence d’un marché transnational de la surveillance, où les chaînes de responsabilité sont difficiles à établir publiquement. Une commission parlementaire peut demander des explications, recommander des règles, mais elle n’a pas, par nature, les moyens d’enquête d’un service de renseignement. L’asymétrie est structurelle.

Une commission d’enquête fragilisée, un signal politique pour Bruxelles

La commission PEGA n’a pas été conçue comme un exercice académique. Elle répondait à une série d’alertes sur l’utilisation de spywares en Europe et sur la nécessité d’évaluer les pratiques, les cadres juridiques et les dérives possibles. L’affaire Kouloglou renverse la perspective: l’objet de l’enquête devient un outil contre l’enquête.

Dans les éléments rapportés, plusieurs eurodéputés ont dénoncé le piratage du téléphone de l’élu chargé d’enquêter ^[5]. Le message politique est double. D’un côté, la dénonciation vise à rappeler que la surveillance illégitime ne touche pas uniquement des opposants ou des journalistes, mais peut atteindre le cœur des institutions. De l’autre, elle met la pression sur les États membres et sur la Commission européenne pour clarifier les lignes rouges et les moyens de contrôle.

Cette affaire peut aussi être lue comme un test de robustesse institutionnelle. Une démocratie libérale repose sur la séparation des pouvoirs, le contrôle parlementaire, la protection des sources, et une presse capable d’enquêter. Quand un spyware peut, potentiellement, cartographier des échanges entre un parlementaire et des victimes, ou entre un parlementaire et d’autres institutions, le risque est celui d’un effet dissuasif: moins de témoins acceptent de parler, plus de précautions ralentissent le travail, et la vérification devient plus coûteuse.

À cela s’ajoute une dimension européenne spécifique: la commission PEGA travaillait sur des cas transfrontaliers, avec des sensibilités nationales fortes. Une attaque contre un membre de la commission, si elle est perçue comme liée à des intérêts politiques, nourrit la défiance entre capitales et institutions européennes. Même sans attribution publique, le soupçon suffit souvent à dégrader la coopération.

Cybersécurité des élus: du symbole au protocole opérationnel

L’affaire Kouloglou rappelle une évidence que beaucoup d’institutions ont appris tardivement: un smartphone est un poste de travail, un carnet d’adresses, un outil de coordination et un canal d’accès à des documents. Dans un environnement où des logiciels espions existent, la protection ne peut pas se limiter à des recommandations générales. Elle suppose des protocoles, des outils, des audits et des réflexes partagés.

Le sujet n’est pas seulement de protéger des élus, mais aussi de protéger la fonction. Un parlementaire en commission d’enquête, un rapporteur, un membre d’une délégation, manipule des informations qui peuvent intéresser des États et des acteurs privés. Quand Wired explique que Kouloglou a été ciblé à plusieurs reprises, l’idée sous-jacente est celle d’une surveillance persistante, calibrée pour durer et collecter ^[4].

Le débat public sur Pegasus se concentre souvent sur l’interdiction, la régulation ou les sanctions. L’incident met en lumière un autre chantier: la résilience quotidienne. Dans les administrations, la cybersécurité progresse par couches, formation, segmentation, procédures. Les institutions politiques, elles, restent exposées à des usages plus mobiles, plus personnels, plus hétérogènes, ce qui crée des points d’entrée.

Enfin, l’épisode renvoie à une question de doctrine: comment articuler la lutte contre le crime et le terrorisme, qui sert souvent de justification à ces outils, avec la protection effective des droits fondamentaux et du fonctionnement normal des contre-pouvoirs? Quand la cible est un enquêteur parlementaire, l’arbitrage ne peut plus être présenté comme un débat abstrait.

Repères rapides sur l’affaire Pegasus au Parlement européen

• Stelios Kouloglou a été identifié comme cible de Pegasus pendant son travail à la commission PEGA ^[4].
• L’analyse technique citée par la presse est attribuée à Citizen Lab, Université de Toronto ^[4].
• Des eurodéputés ont publiquement dénoncé le piratage du téléphone de l’enquêteur ^[5].

Ce que l’affaire change dans le débat européen

• Elle met au premier plan la protection opérationnelle des élus et des équipes parlementaires.
• Elle renforce l’argument d’un risque pour l’État de droit quand des outils intrusifs ciblent des contre-pouvoirs ^[4].
• Elle pose une question de méthode: comment conduire une enquête sur des spywares quand les enquêteurs peuvent être surveillés?

FAQ: Pegasus, commission PEGA, et risques démocratiques

Qui est Stelios Kouloglou dans cette affaire?
Selon les informations rapportées, il s’agit d’un ancien eurodéputé qui a siégé au sein de la commission PEGA, et dont le téléphone a été ciblé par Pegasus pendant cette période ^[2][4].

Qu’est-ce que la commission PEGA?
C’est une commission du Parlement européen mise en place pour examiner l’utilisation de logiciels espions comme Pegasus et d’autres variantes, et pour enquêter sur des cas signalés en Europe ^[4].

Qui a documenté techniquement le piratage évoqué?
La presse indique qu’une analyse forensique publiée par Citizen Lab, rattaché à l’Université de Toronto, a établi que l’iPhone de Kouloglou avait été compromis par Pegasus ^[4].

Pourquoi ce cas est-il politiquement sensible?
Parce qu’il touche un élu chargé d’enquêter sur ces outils, ce qui peut affecter le travail parlementaire, la protection des sources et la capacité d’un contre-pouvoir à exercer un contrôle effectif ^[4][5].

Quelle est la portée institutionnelle évoquée par des eurodéputés?
Selon Wired, un membre du Parlement européen a qualifié ces révélations d’attaque directe contre l’État de droit, ce qui traduit la gravité perçue quand la surveillance vise des institutions de contrôle ^[4].