Pegasus zero-click en el iPhone del rector de Belgrado

El Citizen Lab de la Universidad de Toronto ha confirmado con alta confianza que el iPhone de Vladan Đokić, rector de la Universidad de Belgrado y defensor público del movimiento estudiantil serbio, fue infectado en 2026 con Pegasus, el spyware de NSO Group. La infección se produjo con un exploit zero-click: ningún clic, ningún archivo abierto. El análisis se hizo junto con la SHARE Foundation, organización serbia de derechos digitales, y se hizo público el lunes 19 de octubre, seis días antes de las elecciones parlamentarias anticipadas del 25 de octubre.

Qué ha pasado

Según el informe del Citizen Lab, recogido por CyberScoop, The Record y Security Affairs, la SHARE Foundation realizó el primer análisis forense del dispositivo, a petición y con el consentimiento del rector; después el Citizen Lab confirmó la presencia de Pegasus. La SHARE Foundation no ha dicho cuándo se descubrió la infección, por la delicadeza de la investigación, que sigue abierta. Según su investigadora Andrijana Ristić, citada por CyberScoop, es la segunda infección de Pegasus confirmada en Serbia este año.

Las fuentes señalan un segundo caso: Rade Bajić, fiscal de la Fiscalía contra el Crimen Organizado, que trabajó en una investigación por corrupción sobre un proyecto inmobiliario en un sitio histórico protegido de Belgrado. Bajić recibió una notificación de amenaza de Apple (Apple Threat Notification): según Security Affairs el 13 de agosto, con un recordatorio el 27 de agosto. El análisis de su dispositivo sigue en curso: ni la SHARE Foundation ni el Citizen Lab han podido determinar qué spyware se usó, y la infección no está confirmada.

El rector ha pedido una investigación independiente, la publicación de sus resultados y el procesamiento de los responsables. NSO Group no respondió a las preguntas de The Record.

Detalles técnicos

• Herramienta: Pegasus de NSO Group, en iPhone. Ninguna fuente indica la versión de iOS afectada ni la vulnerabilidad explotada: no hay CVE publicadas relacionadas con este caso.
• Vector de ataque: exploit zero-click, sin ninguna acción de la víctima. El canal de entrega no se ha dado a conocer.
• Capacidades: según el Citizen Lab, una vez instalado, Pegasus da al operador el mismo acceso que el propietario del dispositivo: mensajes privados y cifrados, y la posibilidad de activar el micrófono y la cámara sin que la persona lo sepa.
• MITRE ATT&CK for Mobile (nuestro mapeo, a partir de las capacidades descritas): T1664 (Exploitation for Initial Access) para la entrada zero-click, T1429 (Audio Capture) y T1512 (Video Capture) para micrófono y cámara.
• Indicadores de compromiso: las fuentes no han publicado ninguno.
• Atribución: el Citizen Lab no ha indicado quién está detrás del ataque. Security Affairs recuerda que Pegasus solo se vende a gobiernos y agencias estatales. El servicio de seguridad serbio, también según Security Affairs, había descartado los informes de septiembre como sensacionalismo y declarado que actúa dentro de la ley.

El contexto: una campaña larga

Los dos casos se suman a la oleada documentada en septiembre por la SHARE Foundation con el Citizen Lab y Amnistía Internacional. Las fuentes dan cifras distintas: según CyberScoop esa oleada afectó a 14 personas, entre ellas un diputado y un cargo local, atacadas con Pegasus y con una nueva versión de NoviSpy, spyware para Android; The Record, citando el comunicado de la SHARE Foundation, habla de al menos 15 personas atacadas en 2026; Security Affairs, con los dos casos nuevos, llega a al menos 16.

Ristić sitúa la vigilancia en Serbia en una historia más larga, que pasa por FinFisher, los presuntos contactos con Hacking Team y el primer informe de Amnistía Internacional sobre NoviSpy de 2024, que identificó a periodistas y activistas entre los objetivos.

Impacto para las empresas europeas e italianas

El spyware mercenario no ataca al azar: elige a personas por su cargo. En este caso un rector y un fiscal; en otros, directivos, abogados, periodistas, investigadores, cargos públicos. Un smartphone comprometido con un exploit zero-click expone el correo, los chats cifrados, los códigos de autenticación y las reuniones, sin que el usuario haya hecho nada mal: la formación contra el phishing, por sí sola, no basta.

Para las entidades NIS2, los dispositivos móviles de las personas clave forman parte de la gestión de riesgos e incidentes. Universidades y centros de investigación, administraciones públicas y despachos de abogados tienen perfiles parecidos a los atacados en Serbia. Una notificación de amenaza de Apple a un directivo debe tratarse como un posible incidente, con un procedimiento ya preparado.

Qué hacer ya

1. Prepara un procedimiento para las notificaciones de Apple: como sugiere Security Affairs, quien reciba una Apple Threat Notification debe considerar el dispositivo comprometido hasta que un experto demuestre lo contrario. No lo restaures ni lo borres: las huellas son necesarias para el análisis forense.
2. Separa enseguida el dispositivo de la empresa: revoca las sesiones y los tokens de las cuentas corporativas usadas en ese teléfono y cambia las credenciales desde un dispositivo seguro.
3. Recurre a un análisis especializado: para periodistas, activistas y defensores de derechos humanos existe la Digital Security Helpline de Access Now; en Serbia, la SHARE Foundation. Las empresas deberían tener identificado de antemano un proveedor de análisis forense móvil.
4. Activa el Modo de aislamiento (Lockdown Mode) en los iPhone de las personas más expuestas y mantén iOS siempre actualizado, con plazos cortos impuestos desde la consola MDM.
5. Amplía la revisión: Security Affairs aconseja revisar también los dispositivos de los contactos cercanos y de los compañeros de la persona afectada.
6. Incluye los smartphones en el plan de respuesta: lista de personas en riesgo, contactos para el análisis, comunicación interna.

Cómo ayuda ARXDOME

ARXDOME no analiza smartphones: para iPhone y iPad el punto de control sigue siendo la consola MDM. En ordenadores y servidores, las páginas de identidad de ARX Sentry muestran inicios de sesión fallidos, accesos privilegiados y nocturnos y cambios en las cuentas, útiles para detectar el uso de credenciales robadas desde un teléfono comprometido. ARX Horizon reúne las fuentes de threat intelligence y enriquece cada evento con las listas de amenazas.

Última actualización: 21 de octubre de 2026