Al menos 14 personas vinculadas al movimiento estudiantil serbio, la sociedad civil y la política de oposición han sido objetivo de sofisticados programas espía desde finales de 2025, lo que marca lo que los investigadores describen como la mayor campaña de vigilancia documentada de este tipo en el país.
La investigación cobró impulso en agosto de 2026 después de que 12 personas se acercaran a la Fundación SHARE, con sede en Belgrado, tras notificaciones de amenazas de Apple que advertían que sus iPhones habían sido atacados con software espía mercenario. Investigaciones forenses posteriores descubrieron dos casos adicionales relacionados con NoviSpy, un software de vigilancia previamente identificado en Serbia.
Entre los objetivos se encuentran miembros del movimiento estudiantil serbio y activistas, así como un diputado de la oposición y un concejal local de la oposición. Los investigadores señalaron que la actividad de vigilancia coincidió con un periodo políticamente sensible que incluyó elecciones locales celebradas el 29 de marzo.
Uno de los hallazgos más significativos provino de un miembro anónimo del movimiento estudiantil de protesta. Citizen Lab, en colaboración con la Fundación SHARE, encontró pruebas forenses de alta confianza de que el iPhone de la persona había sido infectado con Pegasus entre diciembre de 2025 y enero de 2026.
Pegasus es un software comercial de vigilancia desarrollado por NSO Group, con sede en Israel. Una vez desplegado con éxito, puede proporcionar un acceso extenso a la información almacenada en un smartphone, incluyendo comunicaciones, fotografías y otros datos sensibles. También puede permitir el acceso encubierto al micrófono y la cámara de un dispositivo.
En el caso serbio, los investigadores determinaron que la infección por Pegasus implicaba una vulnerabilidad de cero clics en el servicio iMessage de Apple. A diferencia de los ataques convencionales de phishing, un exploit de cero clic no requiere que la víctima abra un archivo adjunto, siga un enlace malicioso o apruebe una instalación. Los investigadores creen que la vulnerabilidad utilizada en el ataque fue corregida por Apple en iOS 18.4.1.
La investigación también identificó una nueva versión de NoviSpy en dispositivos asociados al movimiento estudiantil. NoviSpy es una herramienta de vigilancia Android que ya había sido documentada en Serbia. Investigaciones previas encontraron casos en los que fue instalada de forma encubierta en los teléfonos de activistas mientras los dispositivos estaban temporalmente fuera de su posesión durante interacciones con las autoridades serbias.
No se ha establecido públicamente quién autorizó el último ataque a Pegasus. La Agencia de Inteligencia de Seguridad de Serbia, conocida como BIA, rechazó las acusaciones en torno a los informes de vigilancia como “sensacionalismo puramente trivial” y afirmó que opera conforme a la ley serbia.
Los exámenes forenses de dispositivos adicionales continúan, lo que significa que el número confirmado de objetivos puede no representar la escala total de la actividad de vigilancia. Los investigadores han descrito los casos documentados hasta ahora como una ola sin precedentes de ataques de software espía avanzado en Serbia.