Pegasus zero-click pe iPhone-ul rectorului din Belgrad

Citizen Lab de la Universitatea din Toronto a confirmat cu un grad ridicat de încredere că iPhone-ul lui Vladan Đokić, rectorul Universității din Belgrad și susținător public al mișcării studențești din Serbia, a fost infectat în 2026 cu Pegasus, spyware-ul NSO Group. Infecția s-a produs printr-un exploit zero-click: niciun clic, niciun fișier deschis. Analiza a fost făcută împreună cu SHARE Foundation, organizație sârbă pentru drepturi digitale, și a fost făcută publică luni, 19 octombrie, cu șase zile înainte de alegerile parlamentare anticipate din 25 octombrie.

Ce s-a întâmplat

Potrivit raportului Citizen Lab, preluat de CyberScoop, The Record și Security Affairs, SHARE Foundation a făcut prima analiză criminalistică a dispozitivului, la cererea și cu acordul rectorului; apoi Citizen Lab a confirmat prezența Pegasus. SHARE Foundation nu a spus când a fost descoperită infecția, din cauza caracterului delicat al anchetei, care rămâne deschisă. Potrivit cercetătoarei sale Andrijana Ristić, citată de CyberScoop, este a doua infecție cu Pegasus confirmată în Serbia anul acesta.

Sursele semnalează un al doilea caz: Rade Bajić, procuror la Parchetul pentru criminalitate organizată, care a lucrat la o anchetă de corupție privind un proiect imobiliar pe un sit istoric protejat din Belgrad. Bajić a primit o notificare de amenințare de la Apple (Apple Threat Notification): potrivit Security Affairs pe 13 august, cu o reamintire pe 27 august. Analiza dispozitivului său este încă în curs: nici SHARE Foundation, nici Citizen Lab nu au putut stabili ce spyware a fost folosit, iar infecția nu este confirmată.

Rectorul a cerut o anchetă independentă, publicarea rezultatelor și urmărirea penală a celor responsabili. NSO Group nu a răspuns la întrebările The Record.

Detalii tehnice

• Instrument: Pegasus de la NSO Group, pe iPhone. Nicio sursă nu indică versiunea de iOS afectată sau vulnerabilitatea exploatată: nu există CVE publicate legate de acest caz.
• Vector de atac: exploit zero-click, fără nicio acțiune a victimei. Canalul de livrare nu a fost făcut public.
• Capacități: potrivit Citizen Lab, odată instalat, Pegasus îi dă operatorului același acces ca proprietarului dispozitivului: mesaje private și criptate, plus posibilitatea de a porni microfonul și camera fără știrea persoanei.
• MITRE ATT&CK for Mobile (maparea noastră, pe baza capacităților descrise): T1664 (Exploitation for Initial Access) pentru intrarea zero-click, T1429 (Audio Capture) și T1512 (Video Capture) pentru microfon și cameră.
• Indicatori de compromitere: niciunul publicat de surse.
• Atribuire: Citizen Lab nu a indicat cine se află în spatele atacului. Security Affairs amintește că Pegasus se vinde doar guvernelor și agențiilor de stat. Serviciul de securitate sârb, tot potrivit Security Affairs, respinsese rapoartele din septembrie ca senzaționalism și declarase că acționează în limitele legii.

Contextul: o campanie de durată

Cele două cazuri se adaugă valului documentat în septembrie de SHARE Foundation împreună cu Citizen Lab și Amnesty International. Sursele dau cifre diferite: potrivit CyberScoop, acel val a vizat 14 persoane, între care un parlamentar și un oficial local, atacate cu Pegasus și cu o nouă versiune a NoviSpy, spyware pentru Android; The Record, citând comunicatul SHARE Foundation, vorbește despre cel puțin 15 persoane vizate în 2026; Security Affairs, cu cele două cazuri noi, ajunge la cel puțin 16.

Ristić plasează supravegherea din Serbia într-o istorie mai lungă, de la FinFisher și presupusele legături cu Hacking Team până la primul raport Amnesty International despre NoviSpy din 2024, care identificase jurnaliști și activiști printre ținte.

Impactul pentru companiile europene și italiene

Spyware-ul mercenar nu lovește la întâmplare: alege oameni după rolul lor. Aici un rector și un procuror; în alte cazuri directori, avocați, jurnaliști, cercetători, funcționari publici. Un smartphone compromis cu un exploit zero-click expune e-mailul, chaturile criptate, codurile de autentificare și ședințele, fără ca utilizatorul să fi greșit cu ceva: instruirea împotriva phishingului, singură, nu ajunge.

Pentru entitățile NIS2, dispozitivele mobile ale persoanelor-cheie intră în gestionarea riscurilor și a incidentelor. Universitățile și institutele de cercetare, administrațiile publice și firmele de avocatură au profiluri asemănătoare celor vizate în Serbia. O notificare de amenințare de la Apple primită de un director trebuie tratată ca un posibil incident, cu o procedură pregătită dinainte.

Ce e de făcut acum

1. Pregătește o procedură pentru notificările Apple: așa cum sugerează Security Affairs, cine primește o Apple Threat Notification trebuie să considere dispozitivul compromis până când un expert dovedește contrariul. Nu-l restaura și nu-l șterge: urmele sunt necesare pentru analiza criminalistică.
2. Separă imediat dispozitivul de companie: revocă sesiunile și tokenurile conturilor de serviciu folosite pe acel telefon și schimbă datele de autentificare de pe un dispozitiv sigur.
3. Apelează la o analiză specializată: pentru jurnaliști, activiști și apărători ai drepturilor omului există Digital Security Helpline de la Access Now; în Serbia, SHARE Foundation. Companiile ar trebui să aibă stabilit dinainte un furnizor de analiză criminalistică pentru dispozitive mobile.
4. Activează Modul de izolare (Lockdown Mode) pe iPhone-urile persoanelor cele mai expuse și ține iOS mereu actualizat, cu termene scurte impuse din consola MDM.
5. Extinde verificarea: Security Affairs recomandă verificarea și a dispozitivelor contactelor apropiate și ale colegilor persoanei vizate.
6. Include smartphone-urile în planul de răspuns: lista persoanelor expuse, contacte pentru analiză, comunicare internă.

Cum ajută ARXDOME

ARXDOME nu analizează smartphone-uri: pentru iPhone și iPad punctul de control rămâne consola MDM. Pe computere și servere, paginile de identitate din ARX Sentry arată autentificările eșuate, accesele privilegiate și pe timp de noapte și modificările conturilor, utile pentru a observa folosirea unor date de autentificare furate de pe un telefon compromis. ARX Horizon reunește sursele de threat intelligence și îmbogățește fiecare eveniment cu listele de amenințări.

Ultima actualizare: 21 octombrie 2026