Pegasus zero-click sull’iPhone del rettore di Belgrado

Il Citizen Lab dell’Università di Toronto ha confermato con alta affidabilità che l’iPhone di Vladan Đokić, rettore dell’Università di Belgrado e sostenitore pubblico del movimento studentesco serbo, è stato infettato nel 2026 con Pegasus, lo spyware di NSO Group. L’infezione è avvenuta con un exploit zero-click: nessun clic, nessun file aperto. L’analisi è stata fatta insieme alla SHARE Foundation, organizzazione serba per i diritti digitali, e resa pubblica lunedì 19 ottobre, sei giorni prima delle elezioni parlamentari anticipate del 25 ottobre.

Cosa è successo

Secondo il rapporto del Citizen Lab, ripreso da CyberScoop, The Record e Security Affairs, la SHARE Foundation ha fatto la prima analisi forense del dispositivo, su richiesta e con il consenso del rettore; il Citizen Lab ha poi confermato la presenza di Pegasus. La SHARE Foundation non ha detto quando è stata scoperta l’infezione, per la delicatezza dell’indagine, che resta aperta. Secondo la sua ricercatrice Andrijana Ristić, citata da CyberScoop, è la seconda infezione da Pegasus confermata in Serbia quest’anno.

Le fonti segnalano un secondo caso: Rade Bajić, procuratore della Procura per la criminalità organizzata, che ha lavorato a un’indagine per corruzione su un progetto immobiliare in un sito storico protetto di Belgrado. Bajić ha ricevuto una notifica di minaccia di Apple (Apple Threat Notification): secondo Security Affairs il 13 agosto, con un promemoria il 27 agosto. L’analisi del suo dispositivo è ancora in corso: né la SHARE Foundation né il Citizen Lab hanno potuto stabilire quale spyware sia stato usato, e l’infezione non è confermata.

Il rettore ha chiesto un’indagine indipendente, la pubblicazione dei risultati e il perseguimento dei responsabili. NSO Group non ha risposto alle domande di The Record.

Dettagli tecnici

• Strumento: Pegasus di NSO Group, su iPhone. Nessuna fonte indica la versione di iOS colpita né la vulnerabilità sfruttata: non ci sono CVE pubblicate legate a questo caso.
• Vettore d’attacco: exploit zero-click, cioè senza alcuna azione della vittima. Il canale usato per consegnarlo non è stato reso noto.
• Capacità: secondo il Citizen Lab, una volta installato Pegasus dà all’operatore lo stesso accesso del proprietario del dispositivo: messaggi privati e cifrati, e la possibilità di attivare microfono e fotocamera all’insaputa della persona.
• MITRE ATT&CK for Mobile (nostra mappatura, sulle capacità descritte): T1664 (Exploitation for Initial Access) per l’ingresso zero-click, T1429 (Audio Capture) e T1512 (Video Capture) per microfono e fotocamera.
• Indicatori di compromissione: nessuno pubblicato dalle fonti.
• Attribuzione: il Citizen Lab non ha indicato chi ci sia dietro l’attacco. Security Affairs ricorda che Pegasus è venduto solo a governi e agenzie statali. Il servizio di sicurezza serbo, sempre secondo Security Affairs, aveva liquidato i rapporti di settembre come sensazionalismo e dichiarato di operare nel rispetto della legge.

Il contesto: una campagna lunga

I due casi si aggiungono all’ondata documentata a settembre dalla SHARE Foundation con il Citizen Lab e Amnesty International. Le fonti danno numeri diversi: secondo CyberScoop quell’ondata riguardava 14 persone, tra cui un parlamentare e un amministratore locale, colpite con Pegasus e con una nuova versione di NoviSpy, spyware per Android; The Record, citando il comunicato della SHARE Foundation, parla di almeno 15 persone prese di mira nel 2026; Security Affairs, con i due nuovi casi, arriva ad almeno 16.

Ristić colloca la sorveglianza in Serbia in una storia più lunga, che passa da FinFisher, dai presunti rapporti con Hacking Team e dal primo rapporto di Amnesty International su NoviSpy del 2024, che aveva individuato tra i bersagli giornalisti e attivisti.

Impatto per le aziende europee e italiane

Lo spyware mercenario non colpisce a caso: sceglie persone con un ruolo. In questo caso un rettore e un magistrato; altrove dirigenti, avvocati, giornalisti, ricercatori, amministratori pubblici. Uno smartphone compromesso con un exploit zero-click espone posta, chat cifrate, codici di autenticazione e riunioni, senza che l’utente abbia fatto nulla di sbagliato: la formazione contro il phishing, da sola, non basta.

Per i soggetti NIS2, i dispositivi mobili delle persone chiave rientrano nella gestione del rischio e degli incidenti. Università ed enti di ricerca, pubbliche amministrazioni e studi legali hanno profili simili a quelli colpiti in Serbia. Una notifica di minaccia di Apple a un dirigente va trattata come un possibile incidente, con una procedura già pronta.

Cosa fare subito

1. Prepara una procedura per le notifiche di Apple: come suggerisce Security Affairs, chi riceve una Apple Threat Notification deve considerare il dispositivo compromesso finché un esperto non dimostra il contrario. Non ripristinarlo e non cancellarlo: le tracce servono all’analisi forense.
2. Separa subito il dispositivo dall’azienda: revoca sessioni e token degli account aziendali usati su quel telefono e cambia le credenziali da un dispositivo sicuro.
3. Affidati a un’analisi specializzata: per giornalisti, attivisti e difensori dei diritti umani c’è la Digital Security Helpline di Access Now; in Serbia la SHARE Foundation. Le aziende dovrebbero avere un fornitore di analisi forense mobile individuato in anticipo.
4. Attiva la Modalità di isolamento (Lockdown Mode) sugli iPhone delle persone più esposte e tieni iOS sempre aggiornato, con scadenze brevi imposte dalla console MDM.
5. Allarga il controllo: Security Affairs consiglia di far verificare anche i dispositivi dei contatti stretti e dei colleghi della persona colpita.
6. Includi gli smartphone nel piano di risposta: elenco delle persone a rischio, contatti per l’analisi, comunicazione interna.

Come aiuta ARXDOME

ARXDOME non analizza gli smartphone: per iPhone e iPad il punto di controllo resta la console MDM. Sui computer e sui server, le pagine identità di ARX Sentry mostrano accessi falliti, accessi privilegiati e notturni e modifiche agli account, utili per notare l’uso di credenziali sottratte da un telefono compromesso. ARX Horizon riunisce le fonti di threat intelligence e arricchisce ogni evento con le liste di minacce.

Ultimo aggiornamento: 21 ottobre 2026