2026年7月3日，加拿大多伦多大学公民实验室（Citizen Lab）发布了一份报告，看完之后，笔者脑中只有四个字：讽刺拉满。
报告的主角是一位名叫斯泰利奥斯·库洛格鲁（Stelios Kouloglou）的希腊前欧洲议会议员。他在2022年到2023年间，担任欧洲议会”PEGA委员会”的成员——这个委员会的全称是”调查Pegasus及同类监控间谍软件使用情况调查委员会”。说白了，他当时的日常工作，就是调查谁在用Pegasus这种间谍软件非法监控别人。
然后，就在他调查这件事的过程中，他自己的手机被Pegasus入侵了。不止一次，是两次。
猎人，成了猎物。
▲ 希腊记者兼欧洲议会议员斯泰利奥斯·库洛格鲁。来源：Citizen Lab
一、一个躺在医院里的病人，手机正在被入侵
时间拉回到2022年10月21日。这一天，库洛格鲁在希腊雅典的一家医院里接受择期手术。他不是在工作，不是在开会，甚至不在看手机——他只是躺在病床上。
一个叫萨纳西斯·库卡基斯（Thanasis Koukakis）的希腊调查记者来医院探望他。这位记者自己就是间谍软件的受害者——他在2022年初被发现手机被另一款名叫Predator的间谍软件入侵了。两人在病房里聊了很多，关于间谍软件调查的进展、关于PEGA委员会的工作计划。库卡基斯还拍了一张照片做纪念。
就是这一天，就在这张照片被拍下的同一时间，库洛格鲁的手机被Pegasus间谍软件成功入侵了。
▲ 2022年10月21日，希腊记者库卡基斯在病房中探望库洛格鲁时拍摄。就在这一时刻，库洛格鲁的手机正被Pegasus间谍软件入侵。来源：Citizen Lab / Thanasis Koukakis
看到这张照片时，笔者感到一种强烈的不安。照片上的两个人都在聊如何对抗间谍软件，而他们不知道的是，就在他们说话的时候，一部手机正在源源不断地把病房里的所有信息——对话、短信、通讯录、甚至日程安排——传送给屏幕另一端的某个”客户”。
这就是Pegasus这类军用级间谍软件的可怕之处：**你完全不知道自己被入侵了。**你的手机看起来一切正常。没有奇怪的短信，没有弹窗，没有卡顿。但你的每一次通话、每一张照片、每一条消息，都正在被人远程读取。
二、零点击攻击：你什么都不用做，手机就”沦陷”了
可能有人会问：Pegasus到底是怎么进入手机的？难道不需要点一个链接、下载一个文件，或者至少接一个奇怪的电话吗？
答案是：统统不需要。
笔者把这种攻击方式用最通俗的话解释一下——想象你的手机是一个房子。传统的病毒攻击就像有人来敲门，骗你开门，然后冲进来。但Pegasus用的方式完全不同：它根本不需要敲门。它利用的是这个”房子”本身的结构漏洞——比如说，墙里有一条连你自己都不知道的裂缝，攻击者往裂缝里塞了一个东西，然后就从内部把整个房子控制了。
网络安全界管这种方式叫”零点击攻击”（zero-click exploit）。你不用点任何东西，不需要任何操作，甚至不需要解锁手机，攻击就能完成。
具体到库洛格鲁这个案例，入侵他手机的漏洞被称为”PWNYOURHOME”。这是一个利用苹果手机”家庭”（HomeKit）功能的漏洞。攻击者只需要用一个特殊的邮箱地址注册HomeKit，就能触发系统内部的一个错误，进而获得对手机的控制权。
整个过程，**库洛格鲁没有收到任何通知，没有看到任何异常。**直到好几个月之后，苹果公司才在iOS 16.3.1版本中修复了这个漏洞。而库洛格鲁被入侵时，他的手机运行的是iOS 15.5——在攻击者眼里，这道门是敞开的。
更让人后背发凉的是第二个入侵时间点：2023年3月6日至7日。这两天，库洛格鲁从雅典飞到了布鲁塞尔，参加PEGA委员会的密集讨论。委员会正在起草最终报告的定稿——这份报告事关哪些国家政府在滥用间谍软件、需要承担什么责任。如果这期间他手机里涉及报告草稿的讨论、其他委员的立场、甚至投票策略都被截获了，那后果意味着什么，不用笔者多说了。
而苹果公司后来确实向库洛格鲁发过三次安全警告，分别是在2023年3月2日、2023年8月29日和2024年4月10日。但库洛格鲁表示，他完全不记得收到过这些通知。这其实并不奇怪——苹果的这种”威胁通知”以静默方式发送，容易被忽略或被当成垃圾邮件。
三、谁在卖这些”数字武器”？一个价值几十亿美元的生意
这里必须聊一聊Pegasus背后的公司——NSO集团。
这是一家以色列公司，成立于2010年。它卖的产品被业界称作”网络武器”。它们的商业模式简单粗暴：只卖给政府，不卖给个人或企业。一套Pegasus系统的部署费用，据行业估算在数百万到数千万美元之间。
NSO的官方说法是，Pegasus是”打击犯罪和恐怖主义的工具”。乍一听很有道理——警察用监控技术抓坏人，天经地义。但问题在于，**卖出去之后，NSO管不了客户怎么用。**而这个”客户”名单里，包括了一些在人权记录上并不光彩的国家。
从2021年开始，一个由17家国际媒体组成的”Pegasus项目”（Pegasus Project）调查联盟，陆续曝光了大量Pegasus被滥用的案例：记者、律师、反对派政客、人权活动家、甚至国家元首，都在目标名单上。NSO每次被曝光都会说”我们会调查”、“我们不知道客户这么用”，但类似的案例还是源源不断。
笔者查阅了一下相关的法院文件。2025年5月，美国加州一家法院判决NSO集团向Meta（WhatsApp的母公司）赔偿1.68亿美元，原因是NSO利用WhatsApp的漏洞帮助其客户非法监控了全球1400部手机。这是间谍软件行业迄今最大的单笔罚单。
但让笔者最为担忧的是，这个判决并没有让NSO停止运营。根据科技媒体TechSpot的报道，NSO在2025年11月已经在新东家的领导下重组复活，继续寻找新的买家。
换句话说，这门生意，还在继续。
四、欧洲议会不是第一次被”盯上”，也不会是最后一次
库洛格鲁不是唯一被Pegasus盯上的欧洲议会议员。
在PEGA委员会成立之前，就已经有四名加泰罗尼亚籍的欧洲议会议员被Pegasus入侵——包括后来成为PEGA委员会副主席的戴安娜·里巴（Diana Riba），以及加泰罗尼亚前主席卡莱斯·普伊格德蒙特（Carles Puigdemont）。他们是PEGA委员会的成员，同时又是Pegasus的受害者，这种”既是调查者又是被调查对象”的荒诞处境，本身就说明了问题。
2024年2月，欧洲议会安全和防务小组委员会的两名议员也被发现手机中存在间谍软件痕迹。同年5月，德国议员丹尼尔·弗罗因德（Daniel Freund）确认被另一款间谍软件Candiru入侵。
也就是说，欧洲议会——这个号称”欧洲民主堡垒”的地方——正在被各种间谍软件从四面八方渗透。
笔者注意到一个关键的细节：Citizen Lab明确表示，没有证据表明希腊政府实施了这次入侵。相反，证据指向同一个跟俄罗斯/白俄罗斯流亡记者被入侵案有关联的”操作者”——一个在多个欧洲国家都有”授权”使用Pegasus的客户。换句话说，这很可能是一个跨越多国边界的监视行动。
五、这件事为什么重要？因为规则正在被践踏
回到那句话：猎人成了猎物。这不止是一句好记的标题，它指向一个更深层的问题——
当一个监督间谍软件滥用的人，自己都可以被间谍软件随意入侵，那意味着这套监控技术已经不受任何规则约束了。
PEGA委员会存在的意义，就是要给间谍软件的使用画红线：什么情况下可以用？谁可以批准？被监控的人有什么权利？但当委员会成员自己的手机都被攻破，当委员会的保密讨论都可能被窃听时，“画红线”这件事本身就变得极其困难——因为那个你试图约束的对象，已经提前知道了你要怎么约束它。
这就像是一场考试，考官出的题，考生在考前就已经看过了。考试还有意义吗？
Citizen Lab在报告的结尾提出了一个让笔者觉得很心酸但也很现实的建议：他们呼吁所有PEGA委员会的成员和工作人员，赶紧去做手机间谍软件筛查。因为”在缺乏全面筛查的情况下，无法知道是否还有其他委员会成员或其工作人员遭到了类似的入侵。”
四年过去了，没有人知道还有多少部手机”沦陷”着。
六、普通人能从这件事里学到什么？
坦白讲，对于普通人来说，Pegasus这种级别的攻击几乎无法防御。它不是那种你下载一个杀毒软件就能防住的东西。它能利用的漏洞，往往连手机厂商自己都不知道（在安全行业，这叫做”零日漏洞”）。
但有几件事值得每个人知道：
**第一，意识到这种威胁的存在。**这不是好莱坞电影里的虚构情节。军用级间谍软件已经被广泛部署在全球各地，目标对象早已从恐怖分子扩大到了记者、律师、政客、活动家——以及调查这些间谍软件的人。
**第二，留意来自手机厂商的安全警告。**苹果和谷歌都会向可能被国家级攻击盯上的用户发送”威胁通知”。如果你收到了这样的通知，别忽略它。它可能意味着你的手机已经被盯上了。
**第三，如果从事敏感工作，可以开启手机的”锁定模式”（iOS的Lockdown Mode或安卓的Advanced Protection）。**这会限制很多功能——比如陌生人给你发iMessage时，某些附件不会自动加载——但它能大幅提高间谍软件攻击的难度。
结语
写完这篇文章时，笔者又看了一遍那张医院病房里的照片。照片里的两个人，一个是正在调查间谍软件的议员，一个是自己曾被间谍软件入侵的记者。他们在聊如何对抗监控，而他们中间的一部手机，正在被同一款监控软件入侵。
这画面本身，就是我们所处时代的一个隐喻。
Citizen Lab的报告建议欧盟机构和各国议会对成员进行全面的间谍软件筛查。但笔者觉得，比筛查更重要的，是必须有人回答一个问题：到底是谁，在监视那些监视者？
参考链接：
- https://citizenlab.ca/research/member-of-committee-investigating-spyware-hacked-with-pegasus/
- https://news.ycombinator.com/item?id=48779683
- https://www.wired.com/story/eu-politicians-investigated-pegasus-spyware-then-it-ended-up-on-one-of-their-phones/
- https://www.theguardian.com/world/2026/jul/03/spyware-used-against-mep-investigating-pegasus-abuses-report-finds