Almeno 14 persone legate al movimento studentesco serbo, alla società civile e alla politica di opposizione sono state prese di mira da sofisticati software spyware dalla fine del 2025, segnando quella che i ricercatori descrivono come la più grande campagna di sorveglianza documentata di questo tipo nel paese.
L’indagine ha preso slancio nell’agosto 2026 dopo che 12 persone si sono rivolte alla SHARE Foundation con sede a Belgrado a seguito delle notifiche di minaccia Apple che avvertivano che i loro iPhone erano stati prese di mira da spyware mercenarie. Ulteriori lavori forensi hanno scoperto due ulteriori casi che coinvolgevano NoviSpy, un software di sorveglianza precedentemente identificato in Serbia.
Tra i presi di mira figurano membri del movimento studentesco serbo e attivisti, oltre a un deputato dell’opposizione e un consigliere locale dell’opposizione. I ricercatori hanno osservato che l’attività di sorveglianza si è sovrapposta a un periodo politicamente sensibile che includeva le elezioni locali tenutesi il 29 marzo.
Una delle scoperte più significative è arrivata da un membro anonimo del movimento studentesco di protesta. Citizen Lab, in collaborazione con la SHARE Foundation, ha trovato prove forensi ad alta fiducia che l’iPhone della persona era stato infettato da Pegasus tra dicembre 2025 e gennaio 2026.
Pegasus è un software commerciale di sorveglianza sviluppato dal gruppo israeliano NSO. Una volta implementato con successo, può fornire un accesso esteso alle informazioni memorizzate su uno smartphone, incluse comunicazioni, fotografie e altri dati sensibili. Può anche consentire l’accesso segreto al microfono e alla fotocamera di un dispositivo.
Nel caso serbo, gli investigatori hanno stabilito che l’infezione da Pegasus comportava una vulnerabilità zero-click nel servizio iMessage di Apple. A differenza degli attacchi di phishing convenzionali, un exploit zero-click non richiede alla vittima di aprire un allegato, seguire un link malevolo o approvare un’installazione. I ricercatori ritengono che la vulnerabilità usata nell’attacco sia stata corretta da Apple in iOS 18.4.1.
L’indagine ha inoltre identificato una nuova versione di NoviSpy su dispositivi associati al movimento studentesco. NoviSpy è uno strumento di sorveglianza Android già documentato in Serbia. Ricerche precedenti hanno trovato casi in cui è stato installato segretamente sui telefoni di attivisti mentre i dispositivi erano temporaneamente fuori dal loro possesso durante interazioni con le autorità serbe.
Chi abbia autorizzato l’ultimo attacco di obiettivi Pegasus non è stato accertato pubblicamente. L’Agenzia di Intelligence Serba, nota come BIA, ha respinto le accuse relative ai rapporti di sorveglianza definendole “puramente sensazionalistici banali” e ha affermato che opera in conformità con la legge serba.
Gli esami forensi di ulteriori dispositivi sono in corso, il che significa che il numero confermato di obiettivi potrebbe non rappresentare l’intera portata dell’attività di sorveglianza. I ricercatori hanno descritto i casi finora documentati come un’ondata senza precedenti di spie avanzate di spia in Serbia.