Pegasus colpisce un attivista serbo: confermata la prima…

Il 2 settembre 2026 , Citizen Lab e SHARE Foundation hanno reso pubblica l'analisi forense di un iPhone appartenente a un membro del movimento studentesco serbo

{"main_topic":"cybersecurity","topics":["cybersec","exploit","malware","apple","iphone"]}

Il 2 settembre 2026, Citizen Lab e SHARE Foundation hanno reso pubblica l'analisi forense di un iPhone appartenente a un membro del movimento studentesco serbo, infettato con Pegasus di NSO Group tra dicembre 2025 e gennaio 2026. L'infezione — la prima confermata dell'anno — sfrutta un exploit zero-click su iMessage patchato da Apple nell'aprile 2025 con iOS 18.4.1, riaprendo il dibattito sulla resilienza delle contromisure tecnologiche di fronte alla sorveglianza mercenaria.

Il caso si colloca in un'ondata più ampia: almeno 14 persone in Serbia sono state targetate con spyware avanzato dall'inizio del 2026, tra cui attivisti, membri del movimento studentesco, un deputato dell'opposizione e un consigliere comunale. Le infezioni sono avvenute in concomitanza con le elezioni locali del 29 marzo 2026.

Punti chiave

Citizen Lab ha confermato forensicamente l'infezione Pegasus tramite exploit zero-click su iMessage, con indicatori di alta confidenza per il periodo dicembre 2025 – gennaio 2026.
SHARE Foundation descrive l'ondata come la più grave campagna di sorveglianza con spyware mai documentata in Serbia.
Apple ha inviato threat notifications a 14 individui legati al movimento studentesco e alla società civile serba.
Amnesty International ha rilevato in parallelo una variante Android di NoviSpy installata fisicamente durante detenzioni della polizia serba.

L'analisi forense: come funziona l'attacco

La ricerca di Citizen Lab, condotta in collaborazione con SHARE Foundation, si basa su un'analisi forense del dispositivo della vittima. Secondo la dichiarazione ufficiale del team: "Our analysis confirmed that an iMessage zero-click exploit was used to infect the device with NSO Group's Pegasus spyware". L'exploit non richiede alcuna interazione da parte del target: il semplice ricevimento di un messaggio iMessage è sufficiente per l'infezione.

I ricercatori hanno identificato indicatori di alta confidenza per il periodo dicembre 2025 – gennaio 2026, precisando tuttavia che questo non esclude la possibilità di infezioni aggiuntive. La vulnerabilità sfruttata è stata successivamente patchata da Apple in iOS 18.4.1, rilasciato nell'aprile 2025. Bill Marczak, senior researcher di Citizen Lab, ha dichiarato: "Apple's updates have broken this particular exploit, so we urge everyone to make sure they are updated to the latest version of iOS".

La vittima ha richiesto di rimanere anonima; la data esatta dell'infezione non è stata divulgata per proteggere la sua privacy. Non è stato assegnato alcun CVE alla vulnerabilità iMessage sfruttata — un pattern ricorrente nel caso degli exploit di NSO Group, che vengono tipicamente utilizzati come zero-day prima della divulgazione pubblica.

Pegasus e NoviSpy: due modelli di sorveglianza a confronto

L'indagine forense ha rivelato la presenza contemporanea di due ecosistemi di spyware con modalità di deployment radicalmente diverse. Da un lato Pegasus, prodotto commerciale di NSO Group, distribuito remotamente tramite exploit zero-click. Dall'altro NoviSpy, una variante Android documentata da Amnesty International Security Lab, installata fisicamente sui dispositivi durante la detenzione da parte delle autorità serbe.

Donncha Ó Cearbhaill, responsabile del Security Lab di Amnesty International, ha dichiarato: "These new forensic findings show that Serbian student activists continue to be targeted with invasive spyware... the evidence suggests the infections are being carried out during detention by the Serbian authorities". Amnesty ha confermato due dispositivi infettati con una nuova versione di NoviSpy. In uno dei casi, l'infezione è avvenuta dopo che la polizia aveva sequestrato il telefono di uno studente durante un interrogatorio. Nel secondo, la stessa variante è stata rilevata dopo che messaggi privati su Viber erano stati pubblicati su una televisione filogovernativa.

SHARE Foundation e Amnesty International valutano che la polizia o i servizi segreti serbi siano dietro i casi NoviSpy. Sul fronte Pegasus, non emergono sovrapposizioni infrastrutturali che colleghino l'attacco a un operatore specifico allo stato attuale. NSO Group vende i propri sistemi esclusivamente a governi; quale cliente autorizzato abbia effettuato l'attacco non è noto.

La dimensione politica: elezioni, proteste e processo di adesione UE

Le infezioni sono avvenute in un contesto di alta tensione politica. Le elezioni locali del 29 marzo 2026 hanno coinciso con una fase di mobilitazione del movimento studentesco serbo, emerso come forza di opposizione significativa al governo. L'uso di spyware avanzato contro attivisti e figure dell'opposizione solleva interrogativi diretti sullo stato di diritto nel paese.

La Serbia è formalmente candidata all'adesione all'Unione Europea. La protezione da sorveglianza illegittima e il rispetto delle libertà fondamentali sono criteri valutati nel processo di allargamento. La documentazione di un'ondata di spyware contro dissidenti politici — descritta da SHARE Foundation come la più grave mai registrata nel paese — introduce una variabile di frizione nelle relazioni con Bruxelles.

John Scott-Railton, senior researcher di Citizen Lab, ha sintetizzato la persistenza del problema: "Today, Pegasus is still being used to hack people campaigning for democracy. NSO spent a decade promising reform, yet their spyware is still an instrument of political repression". La prima scoperta di Pegasus risale al 2016; dieci anni dopo, il modello commerciale di sorveglianza mercenaria mantiene la propria efficacia operativa nonostante le contromesse tecniche di Apple e le promesse di riforma avanzate da NSO Group.

"Today, Pegasus is still being used to hack people campaigning for democracy. NSO spent a decade promising reform, yet their spyware is still an instrument of political repression." — John Scott-Railton, senior researcher, Citizen Lab

Cosa fare adesso

Per gli utenti a rischio elevato — giornalisti, attivisti, membri di opposizioni politiche in contesti sensibili — le azioni prioritarie derivano direttamente dalle evidenze tecniche del caso:

Aggiornare immediatamente a iOS 18.4.1 o versione successiva: la patch rilasciata nell'aprile 2025 interrompe lo specifico exploit iMessage documentato da Citizen Lab.
Attivare Lockdown Mode: Apple ha introdotto questa funzionalità come mitigazione specifica contro spyware mercenario; limita significativamente la superficie d'attacco di iMessage e altri vettori zero-click.
Prestare attenzione alle Apple Threat Notifications: 14 individui in Serbia le hanno ricevute; l'avviso ufficiale di Apple è un indicatore attendibile di targeting con spyware avanzato.
Separare fisicamente il dispositivo mobile in situazioni di detenzione o sequestro: i casi NoviSpy dimostrano che l'accesso fisico al telefono viene sfruttato per installare spyware Android in ambiente di custodia governativa.

Perché il caso serbo è un segnale per l'Europa

La conferma forense dell'infezione Pegasus in Serbia nel 2026 rompe una sequenza narrativa dominante: che le contromisure tecnologiche di Apple, combinate con la pressione normativa e mediatica su NSO Group, avessero ridotto l'efficacia operativa del spyware commerciale. I fatti mostrano un quadro diverso. L'exploit patchato nell'aprile 2025 ha trovato bersagli vulnerabili nell'inverno successivo, probabilmente per ritardi negli aggiornamenti o per la mancanza di Lockdown Mode sui dispositivi targetati.

La convergenza tra spyware mercenario transnazionale e spyware domestico sviluppato o impiegato direttamente dalle stesse autorità che detengono fisicamente i dissidenti è il fenomeno più preoccupante. Non si tratta più di scegliere tra sorveglianza remota sofisticata e intercettazione tradizionale: i due modelli coesistono, si rafforzano a vicenda, e operano su timeline complementari — uno prima della detenzione, l'altro durante.

Per le istituzioni europee, la questione supera il caso serbo. Se la protezione da sorveglianza illegittima è criterio di adesione, la verifica non può limitarsi a testo normativo: richiede capacità forense indipendente, cooperazione tra ricercatori, fondazioni digitali e vendor tecnologici, e una risposta coordinata quando gli indicatori diventano prove.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter