Pelo menos 14 pessoas ligadas ao movimento estudantil sérvio, à sociedade civil e à política de oposição têm sido alvo de spyware sofisticado desde o final de 2025, marcando o que pesquisadores descrevem como a maior campanha documentada de vigilância desse tipo no país.
A investigação ganhou força em agosto de 2026, quando 12 pessoas procuraram a SHARE Foundation, sediada em Belgrado, após notificações de ameaça da Apple alertando que seus iPhones haviam sido alvo de spyware mercenário. Trabalhos forenses posteriores revelaram dois casos adicionais envolvendo o NoviSpy, software de vigilância previamente identificado na Sérvia.
Os alvos incluem membros do movimento estudantil sérvio e ativistas, além de um deputado da oposição e um vereador local da oposição. Pesquisadores observaram que a atividade de vigilância coincidiu com um período politicamente sensível que incluiu eleições locais realizadas em 29 de março.
Uma das descobertas mais significativas veio de um membro não identificado do movimento estudantil de protesto. O Citizen Lab, em parceria com a Fundação SHARE, encontrou evidências forenses de alta confiança de que o iPhone da pessoa havia sido infectado com Pegasus entre dezembro de 2025 e janeiro de 2026.
Pegasus é um software comercial de vigilância desenvolvido pelo NSO Group, sediado em Israel. Uma vez implantado com sucesso, ele pode fornecer amplo acesso a informações armazenadas em um smartphone, incluindo comunicações, fotografias e outros dados sensíveis. Também pode permitir o acesso secreto ao microfone e à câmera do dispositivo.
No caso sérvio, os investigadores determinaram que a infecção pelo Pegasus envolvia uma vulnerabilidade de zero clique no serviço iMessage da Apple. Diferente dos ataques convencionais de phishing, um exploit de zero clique não exige que a vítima abra um anexo, siga um link malicioso ou aprove uma instalação. Pesquisadores acreditam que a vulnerabilidade usada no ataque foi corrigida pela Apple no iOS 18.4.1.
A investigação também identificou uma nova versão do NoviSpy em dispositivos associados ao movimento estudantil. O NoviSpy é uma ferramenta de vigilância Android que já havia sido documentada na Sérvia. Pesquisas anteriores encontraram casos em que ele foi instalado secretamente nos telefones de ativistas enquanto os dispositivos estavam temporariamente fora de sua posse durante interações com as autoridades sérvias.
Quem autorizou o mais recente ataque ao Pegasus não foi estabelecido publicamente. A Agência de Inteligência de Segurança da Sérvia, conhecida como BIA, rejeitou as alegações em torno dos relatórios de vigilância como “sensacionalismo puramente trivial” e afirmou que opera de acordo com a lei sérvia.
Exames forenses de dispositivos adicionais continuam, o que significa que o número confirmado de alvos pode não representar a escala total da atividade de vigilância. Pesquisadores descreveram os casos documentados até agora como uma onda sem precedentes de ataques avançados de spyware na Sérvia.