No início de julho de 2026, a revista WIRED publicou uma reportagem que soa como roteiro de filme de espionagem: um político grego que integrava o comitê do Parlamento Europeu encarregado de investigar abusos do spyware Pegasus teve o próprio celular hackeado com o Pegasus. Duas vezes. Stelios Kouloglou, jornalista investigativo e ex-deputado europeu, serviu como membro suplente do Comitê PEGA entre 2022 e 2023, o grupo criado justamente para apurar o uso ilegal de softwares de vigilância por governos europeus. E foi durante esse trabalho que seu iPhone foi infectado pelo mesmo sistema que ele ajudava a investigar.
A descoberta, feita pelo Citizen Lab da Universidade de Toronto e publicada em 3 de julho de 2026, reacendeu o debate global sobre os limites da vigilância digital e expôs uma ironia sombria: o próprio instrumento de investigação pode ter sido comprometido pelo objeto da investigação. Mas, afinal, o que é o Pegasus, quem está por trás dele e por que ele mobiliza políticos de dezenas de países?
O que é o Pegasus?
Pegasus é um spyware, um software de espionagem, desenvolvido pela empresa israelense NSO Group. Diferente de malwares comuns, ele não depende de descuido da vítima. Sua versão mais avançada usa o que os especialistas chamam de “exploit de zero clique”: o sistema infecta o celular sem que o usuário precise clicar em link algum, abrir mensagem ou atender chamada. Basta que o número de telefone ou o Apple ID da vítima seja conhecido pelo operador.
Uma vez instalado, o Pegasus concede ao operador acesso total ao dispositivo: mensagens de texto, e-mails, fotos, histórico de navegação, senhas, localização por GPS e até a ativação remota do microfone e da câmera. Aplicativos com criptografia de ponta a ponta, como WhatsApp e Telegram, também são vulneráveis, pois o spyware captura os dados antes da criptografia, diretamente no sistema operacional.
O NSO Group vende o Pegasus exclusivamente para governos e agências de inteligência. A empresa afirma que a ferramenta se destina ao combate ao terrorismo e ao crime organizado, e que cada venda é aprovada pelo Ministério da Defesa de Israel. Na prática, porém, investigações jornalísticas e forenses revelaram que o software foi usado para espionar jornalistas, ativistas de direitos humanos, advogados, políticos de oposição e até chefes de Estado.
O escândalo do Comitê PEGA
O Comitê PEGA foi criado pelo Parlamento Europeu em março de 2022, após a revelação do chamado Pegasus Project, um consórcio internacional de 17 veículos de imprensa que obteve uma lista com mais de 50 mil números de telefone supostamente monitorados por clientes da NSO. A missão do comitê era investigar violações do direito da União Europeia relacionadas ao uso de Pegasus e softwares equivalentes.
Stelios Kouloglou, jornalista grego eleito deputado europeu, era membro suplente do comitê. Em outubro de 2022, enquanto o grupo se preparava para missões de coleta de evidências na Grécia, em Chipre e na Espanha, o iPhone de Kouloglou foi infectado com Pegasus. Em março de 2023, quando os parlamentares finalizavam o relatório final do comitê, o celular foi hackeado novamente.
O Citizen Lab não conseguiu atribuir os ataques a um governo específico, mas encontrou evidências técnicas que ligam o operador responsável a uma campanha anterior que alvejou jornalistas e ativistas russos e bielorrussos exilados na Europa. O mesmo endereço de e-mail usado como vetor de ataque contra Kouloglou apareceu em um relatório de maio de 2024 que documentava a espionagem de sete jornalistas da oposição russa. Isso sugere que um único cliente da NSO, com licença para operar em múltiplos países europeus, foi o responsável.
Para Hannah Neumann, deputada alemã que também integrou o PEGA, o caso representa “um ataque direto ao Estado de Direito”. Sophie in ‘t Veld, relatora do comitê, foi além: “A pergunta real é: depois de centenas de políticos alvejados, por que a Comissão Europeia não fez nada?”
O Pegasus no Brasil
O Brasil também tem seu capítulo na história do Pegasus. Em 2021, o UOL revelou que o vereador Carlos Bolsonaro (Republicanos-RJ), filho do então presidente Jair Bolsonaro, articulou nos bastidores para que o Ministério da Justiça, comandado por Anderson Torres, adquirisse o sistema. A licitação, no valor de R$ 25,4 milhões, previa 249 licenças de uso do Pegasus, 155 delas sob influência direta do ministro e do vereador.
A negociação excluiu órgãos oficiais de inteligência, como o Gabinete de Segurança Institucional (GSI) e a Agência Brasileira de Inteligência (Abin), gerando uma crise entre o governo e a cúpula militar. O general Carlos Santos Cruz, então ministro da Secretaria de Governo, alertou o presidente sobre os riscos de trazer o Pegasus ao Brasil. A fornecedora acabou abandonando o pregão após a exposição pública do caso.
Antes disso, em 2018, procuradores da força-tarefa da Lava Jato também negociaram a compra do Pegasus. Mensagens obtidas na Operação Spoofing mostraram que integrantes da Lava Jato no Rio de Janeiro e em Curitiba se reuniram com representantes da NSO Group para avaliar o software. As negociações se estenderam até 2019, mas não foram concluídas.
Em 2025, um júri nos Estados Unidos condenou o NSO Group a pagar US$ 167 milhões ao WhatsApp por invadir ilegalmente 1.400 contas da plataforma em 2019 usando o Pegasus. A decisão foi a primeira vez que um desenvolvedor de spyware foi formalmente responsabilizado em tribunal por explorar falhas de segurança em plataformas digitais.
Pegasus nos Estados Unidos e na Rússia
Nos Estados Unidos, a relação com o Pegasus é ambígua. O FBI comprou uma licença do software em 2020 e chegou a elaborar planos para usá-lo em investigações criminais, mas desistiu em julho de 2021, quando o escândalo global veio à tona. O diretor do FBI, Christopher Wray, afirmou ao Congresso que o bureau nunca usou o Pegasus operacionalmente.
Em novembro de 2021, o governo Biden colocou o NSO Group na “Entity List” do Departamento de Comércio, restringindo o acesso da empresa a componentes e tecnologia americanos. Em março de 2023, Biden assinou uma ordem executiva proibindo agências federais de usar spyware comercial que representasse riscos à segurança nacional ou que tivesse sido usado para violar direitos humanos.
A Rússia, por sua vez, não aparece como cliente do NSO Group. O jornalista Andrei Soldatov, especialista em serviços de inteligência russos, escreveu no The Moscow Times que o serviço secreto russo (FSB) desconfia de softwares estrangeiros porque eles dependem de servidores de comando e controle (C&C) mantidos pelo próprio NSO, o que significa que a empresa israelense teria acesso aos dados coletados. Para o FSB, herdeiro de uma longa tradição de tecnologia de inteligência própria, compartilhar dados com um fornecedor externo é inaceitável. No entanto, em 2024, o Google descobriu que hackers do grupo APT29, ligado ao serviço de inteligência externo da Rússia (SVR), estavam usando exploits “idênticos ou muito similares” aos desenvolvidos pelo NSO Group e pela Intellexa, outra empresa de spyware.
A China usou o escândalo do Pegasus para criticar os Estados Unidos. Em julho de 2021, o porta-voz do Ministério das Relações Exteriores chinês, Zhao Lijian, acusou os EUA de “ignorar o Pegasus enquanto difamam a China” por supostos ciberataques. A posição chinesa é particularmente reveladora: Pequim não precisa comprar spyware de terceiros, suas próprias agências de inteligência desenvolvem ferramentas de vigilância em escala industrial.
O legado do PEGA e o futuro da vigilância
O relatório final do Comitê PEGA, aprovado em maio de 2023 e endossado pelo plenário do Parlamento Europeu em junho do mesmo ano, concluiu que o uso de spyware representa “uma ameaça à democracia e aos direitos fundamentais”. O documento pediu regras mais rígidas para a exportação e o uso de softwares de vigilância, incluindo a exigência de autorização judicial prévia, supervisão independente e transparência sobre contratos governamentais.
Até hoje, porém, a Comissão Europeia não implementou a maioria das recomendações. O caso Kouloglou, com sua ironia trágica, pode ser o empurrão que faltava. Como disse John Scott-Railton, pesquisador sênior do Citizen Lab: “Este caso mostra como a indústria de spyware mercenário, ainda não regulamentada e altamente abusiva, é venenosa para os processos democráticos.”
O Pegasus não é apenas um software. É um sintoma de um mercado global de vigilância que opera com pouca ou nenhuma regulação, onde ferramentas criadas para combater o crime são rotineiramente usadas para silenciar críticos, perseguir opositores e minar a própria democracia que deveriam proteger.
Fontes: WIRED — Lily Hay Newman, Citizen Lab — University of Toronto, POLITICO Europe, TechCrunch — Zack Whittaker, Parlamento Europeu — Relatório PEGA, UOL — Lucas Valença, BBC News Brasil, NBC News — Sanções dos EUA ao NSO Group, The Moscow Times — Andrei Soldatov.
