Pegasus et NoviSpy contre les étudiants serbes : une attaque zero-click contre des iPhone confirmée

Un membre du mouvement étudiant serbe a été infecté par Pegasus au moyen d’un exploit zero-click d’iMessage. L’attaque ne nécessitait ni d’ouvrir une pièce jointe, ni de sélectionner un lien, ni de répondre à un message : il suffisait que le contenu malveillant atteigne l’appareil.

Citizen Lab a confirmé la compromission en examinant les artefacts forensiques de l’iPhone avec la SHARE Foundation. L’analyse a débuté après qu’Apple a averti le propriétaire d’une possible attaque au moyen d’un logiciel espion mercenaire.

Les indicateurs de l’infection ont été attribués avec un haut degré de confiance à la période comprise entre décembre 2025 et janvier 2026. Ce cas, signalé récemment, semble s’inscrire dans une campagne bien plus vaste visant des étudiants, des militants et des représentants de l’opposition serbe.

L’alerte d’Apple suivie d’une confirmation forensique

Les notifications de menace d’Apple sont destinées aux utilisateurs que les systèmes de l’entreprise estiment susceptibles d’avoir été ciblés par des opérateurs de logiciels espions mercenaires associés à des activités soutenues par des États. Il ne s’agit pas d’alertes génériques et elles ne signalent pas une infection courante par un logiciel malveillant.

La réception d’une telle notification ne suffit toutefois pas à prouver que le téléphone a été compromis. Il faut une analyse forensique capable de reconstituer les processus, les fichiers, les journaux et les autres traces laissées par l’exploit ou le logiciel espion.

Dans le cas de l’étudiant serbe, cette vérification a abouti à une confirmation : l’appareil contenait des indicateurs compatibles avec une infection par Pegasus. Citizen Lab n’a pas exclu d’autres compromissions, mais leur nombre n’a pas été déterminé.

Le modèle de l’iPhone, la version d’iOS installée au moment de l’attaque et l’identifiant technique de l’exploit n’ont pas été communiqués. Il est donc impossible de déterminer l’ensemble des versions vulnérables. On sait en revanche qu’Apple a neutralisé ce vecteur précis avec les correctifs distribués à partir d’iOS 18.4.1.

Aucun identifiant CVE n’a été associé à l’exploit. Aucune information n’est non plus disponible quant à son éventuelle intégration au catalogue KEV de la CISA.

Au moins 14 personnes ciblées depuis le début de 2026

La SHARE Foundation a documenté au moins 14 personnes ciblées par des opérations recourant à des logiciels espions avancés depuis le début de 2026. Les cibles appartiennent à des catégories politiquement sensibles :

• des membres du mouvement étudiant ;
• des militants de la société civile ;
• un parlementaire de l’opposition ;
• un élu local.

Douze personnes ont contacté le groupe d’analyse forensique de la fondation en août, après avoir reçu des notifications de menace d’Apple. Onze appareils restent classés comme potentiellement infectés et nécessitent des vérifications supplémentaires.

Cette distinction est essentielle. À ce stade, l’infection par Pegasus confirmée par une analyse forensique concerne un iPhone ; les autres alertes indiquent un risque concret, mais ne correspondent pas automatiquement à onze compromissions déjà avérées.

Selon la SHARE Foundation, il s’agit de la plus vaste vague de surveillance documentée jusqu’à présent en Serbie. La sélection des cibles suggère une opération structurée autour des relations politiques et organisationnelles du mouvement de protestation, plutôt qu’une campagne indiscriminée.

La compromission d’un seul membre d’un réseau peut exposer de nombreuses autres personnes. Les messages, carnets d’adresses, calendriers, photographies et historiques de communication peuvent révéler les contacts, les réunions, les sources et les structures internes d’une organisation.

Comment fonctionne une infection zero-click via iMessage

Les attaques zero-click exploitent des composants qui traitent automatiquement les données reçues. Dans le cas étudié, la surface d’attaque était iMessage : le système pouvait traiter le contenu malveillant sans que le destinataire l’ouvre ou interagisse avec lui.

Cela supprime l’un des principaux signaux d’alerte pour l’utilisateur. Il n’y a pas nécessairement de lien suspect à identifier, de pièce jointe inhabituelle à éviter ou de demande d’identifiants à refuser.

Une fois installé, Pegasus peut permettre à l’opérateur d’extraire les messages, les photographies, les notes et d’autres données présentes sur le téléphone. Il peut également accéder à des contenus que l’utilisateur considère comme protégés par le chiffrement, puisque le logiciel espion opère directement sur l’appareil où ces informations sont affichées ou créées.

Les capacités attribuées à Pegasus comprennent également l’activation furtive du microphone et de la caméra. Le smartphone peut ainsi devenir un capteur ambiant, utilisable pour écouter les conversations ou observer ce qui se passe autour de la victime.

L’absence de symptômes visibles ne signifie pas que l’appareil est sûr. Les logiciels espions de cette catégorie sont conçus pour réduire les traces opérationnelles, éviter les notifications évidentes et limiter les comportements susceptibles d’éveiller les soupçons du propriétaire.

NoviSpy découvert sur un téléphone Android saisi

Pegasus n’est pas le seul outil découvert au cours de l’enquête. Dans un épisode distinct, la SHARE Foundation et Amnesty Tech ont identifié une nouvelle version de NoviSpy sur le téléphone Android d’un étudiant militant.

L’appareil avait été saisi par les autorités serbes lors d’un interrogatoire de police. Les éléments forensiques disponibles indiquent que l’installation du logiciel espion aurait eu lieu alors que le téléphone était sous le contrôle des autorités.

Le modèle de l’appareil, la version d’Android concernée et la liste complète des fonctionnalités de cette nouvelle variante n’ont pas été communiqués. NoviSpy est présenté comme un logiciel espion développé localement.

Donncha Ó Cearbhaill, responsable du Security Lab d’Amnesty International, a établi un lien entre ces résultats et la poursuite des campagnes de surveillance visant les étudiants. Le cas diffère techniquement de l’attaque Pegasus : ici, le vecteur possible n’est pas un exploit distant zero-click, mais l’accès physique à un téléphone saisi.

Il ne s’agirait pas d’un cas isolé. Citizen Lab avait déjà documenté en Serbie l’utilisation d’outils Cellebrite pour accéder aux appareils et installer NoviSpy sur les téléphones de militants. Cellebrite et NoviSpy jouent des rôles distincts : le premier peut faciliter l’accès à l’appareil, tandis que le second assure la surveillance qui suit.

Une campagne en plein affrontement politique

Ces opérations s’inscrivent dans le contexte des manifestations étudiantes contre le gouvernement et la corruption. Les épisodes documentés concernent également la période proche des élections locales du 29 mars 2026 et précèdent les élections législatives anticipées prévues en octobre.

La combinaison des cibles est significative. Étudiants, militants, élus locaux et parlementaires de l’opposition partagent une exposition politique qui peut rendre leurs communications internes particulièrement précieuses.

Les données disponibles ne permettent pas d’identifier publiquement l’opérateur précis responsable de l’infection par Pegasus. Les notifications d’Apple signalent une probable activité de logiciel espion mercenaire soutenue par un État, mais l’attribution technique et institutionnelle de l’attaque n’a pas été rendue publique.

La Serbie avait déjà enregistré des cas d’utilisation de Pegasus contre des membres de la société civile. Le nouvel épisode s’inscrit donc dans une série d’opérations documentées, à laquelle s’ajoute l’emploi local de NoviSpy.

Mises à jour, Mode Isolement et assistance forensique

Les utilisateurs d’Apple doivent installer les dernières mises à jour sur tous leurs appareils. L’exploit iMessage observé dans le cadre de l’attaque a été corrigé par les mises à jour incluses dans iOS 18.4.1 et les versions ultérieures.

Pour les journalistes, responsables politiques, militants et défenseurs des droits humains exposés à des risques ciblés, Apple recommande également le Mode Isolement. Cette fonctionnalité réduit les surfaces exploitables, en limitant certaines fonctions de messagerie, de navigation et de communication.

Toute personne qui reçoit une Apple Threat Notification devrait considérer son téléphone comme potentiellement compromis. Restaurer immédiatement l’appareil ou en effacer le contenu peut détruire des éléments utiles à l’enquête ; avant toute intervention, il est préférable de demander une assistance spécialisée et de préserver les preuves.

En Serbie, la SHARE Foundation est l’organisation indiquée comme point de contact. Dans les autres pays, les membres de la société civile présentant un risque élevé peuvent contacter la Digital Security Helpline d’Access Now.

La priorité n’est pas de rechercher des ralentissements, une consommation anormale de la batterie ou des applications inconnues. Lors d’une attaque zero-click professionnelle, ces signes peuvent ne jamais apparaître. Une alerte ciblée d’Apple exige en revanche une réponse rapide, coordonnée et forensique.