Pegasus frappe le mouvement étudiant serbe avec un exploit zero-click sur iMessage

Un iPhone compromis sans aucune action de la victime

Citizen Lab et la SHARE Foundation ont établi qu’un iPhone appartenant à un membre du mouvement étudiant serbe avait été compromis par Pegasus, le logiciel espion mercenaire développé par NSO Group.

L’affaire, révélée le 3 septembre 2026, concerne une attaque attribuée avec un haut degré de confiance à un exploit zero-click transmis via Apple iMessage. Cette technique permet de compromettre un appareil sans inciter la cible à ouvrir une pièce jointe, à suivre un lien ou à répondre à un message.

Les traces forensiques relevées sur le téléphone couvrent la période allant de décembre 2025 à janvier 2026. Les enquêteurs n’excluent toutefois pas que d’autres infections non détectées aient pu se produire.

Le modèle exact de l’iPhone, la version d’iOS installée au moment de l’attaque et la date précise de la compromission ne sont pas connus. Ces éléments seraient nécessaires pour reconstituer plus précisément la chaîne d’infection et comprendre pourquoi l’appareil était encore vulnérable.

L’exploit iMessage associé à cette affaire avait en effet été corrigé par Apple dans iOS 18.4.1, déployé en avril 2025. Le correctif est donc antérieur à la période couverte par les indicateurs forensiques. En l’absence d’informations sur la configuration du téléphone, il est impossible de déterminer si la cible utilisait une version antérieure d’iOS ou si d’autres facteurs sont intervenus.

Aucun identifiant CVE n’a été attribué à la vulnérabilité. Aucun élément ne permet non plus de confirmer son éventuelle inscription au catalogue Known Exploited Vulnerabilities de la CISA.

Les notifications d’Apple ont concerné des utilisateurs dans 110 pays

L’enquête a débuté après une nouvelle vague de notifications envoyées par Apple à des personnes considérées comme des cibles potentielles de logiciels espions mercenaires. Les alertes ont concerné des utilisateurs dans 110 pays, mais le nombre total de destinataires n’a pas été communiqué.

Ces notifications ne prouvent pas automatiquement qu’un téléphone a été compromis. Elles indiquent toutefois qu’Apple a détecté une activité compatible avec des campagnes de surveillance hautement ciblées, généralement distinctes des malwares diffusés à grande échelle.

Dans le cas serbe, les analyses forensiques menées par la suite ont permis de relier l’infection à Pegasus et à un vecteur iMessage ne nécessitant aucune interaction de la victime. L’attribution concerne l’outil utilisé, mais aucun élément technique suffisant n’a été fourni pour identifier publiquement l’opérateur de la plateforme ou reconstituer son infrastructure.

Aucun domaine, aucune adresse IP, aucun hash ni autre indicateur de compromission exploitable par les administrateurs pour effectuer leurs propres recherches n’a été communiqué. La vérification nécessite donc de s’appuyer sur les notifications du fournisseur, des acquisitions forensiques et une analyse spécialisée de l’appareil.

Au moins 14 personnes ciblées en Serbie depuis le début de 2026

Le cas ne semble pas isolé. Selon la SHARE Foundation, au moins 14 personnes en Serbie ont été ciblées par un spyware avancé depuis le début de 2026.

Parmi les cibles figurent des membres du mouvement étudiant, des militants, un parlementaire et un conseiller local appartenant à des partis d’opposition. Les incidents ont coïncidé avec les élections locales du 29 mars 2026, plaçant ces opérations de surveillance dans un contexte politiquement sensible.

Le chiffre communiqué pourrait ne pas refléter l’ampleur réelle de la campagne. Les infections zero-click peuvent laisser peu de traces, tandis que certaines victimes n’ont peut-être reçu aucune alerte ou n’ont pas soumis leur téléphone à un examen forensique.

Les conséquences ne se limitent pas à la confidentialité individuelle. La compromission de membres de mouvements politiques et civiques peut exposer des réseaux de contacts, des communications internes et des informations sur les activités organisationnelles. Dans le cas serbe, des éléments concrets montrent en outre que du contenu privé extrait d’un smartphone a été utilisé publiquement.

NoviSpy installé sur des téléphones Android saisis

Parallèlement à la campagne Pegasus, deux incidents impliquant une nouvelle variante du spyware Android NoviSpy ont été révélés.

Un membre du mouvement étudiant a vu son téléphone compromis après la saisie de l’appareil lors d’un interrogatoire de police. La situation diffère de l’attaque zero-click visant les iPhone : dans ce cas, la personne ayant manipulé le téléphone aurait bénéficié d’un accès physique à l’appareil.

La SHARE Foundation a détecté la même variante de NoviSpy sur un second smartphone. Des messages privés de Viber avaient été extraits de cet appareil, puis diffusés en direct par Informer TV, une chaîne de télévision serbe progouvernementale.

Cet incident illustre un impact immédiat et vérifiable. Les données récupérées ne seraient pas restées cantonnées à une activité de surveillance : elles auraient été utilisées pour rendre publiques les communications privées de la cible.

L’Amnesty International Security Lab estime que les autorités serbes ont installé des outils de spyware Android intrusifs alors que les étudiants étaient détenus. Cette nouvelle menace offre des fonctions similaires à celles de NoviSpy, mais intègre des modifications spécifiquement conçues pour entraver le travail des chercheurs et réduire les chances de détection.

Les versions d’Android concernées ne sont pas connues, pas plus que les éventuelles vulnérabilités exploitées par cette nouvelle variante. Il n’a pas non plus été précisé si l’installation nécessite le déverrouillage du téléphone ou si elle peut être réalisée au moyen d’outils forensiques capables de contourner ses protections.

Le rôle des outils forensiques de Cellebrite

Ces nouvelles compromissions s’inscrivent dans le prolongement de précédents cas documentés en Serbie, au cours desquels des outils forensiques Cellebrite ont été utilisés pour déployer NoviSpy.

Les plateformes de mobile forensics sont conçues pour extraire des données des appareils dans le cadre d’enquêtes. Lorsqu’elles sont associées à des spywares intrusifs, elles peuvent toutefois transformer une saisie temporaire en accès persistant au téléphone, y compris après sa restitution.

Cette méthode rend particulièrement vulnérables les étudiants, les journalistes, les militants et les opposants convoqués pour être interrogés. L’utilisateur peut récupérer un appareil qui semble intact, alors que le logiciel installé tente de dissimuler sa présence.

Les modifications destinées à empêcher la détection, observées dans la nouvelle menace Android, témoignent par ailleurs d’une adaptation aux techniques utilisées par les laboratoires indépendants. Les détails communiqués ne permettent pas de déterminer quels composants du système sont modifiés ni quels contrôles sont contournés.

Mises à jour et mesures de protection pour les utilisateurs à risque

La première mesure à prendre pour les utilisateurs Apple consiste à installer toutes les mises à jour disponibles. Dans le cas présent, le correctif de l’exploit iMessage est inclus dans iOS 18.4.1. Les personnes utilisant un appareil compatible doivent vérifier qu’il n’exécute pas une version antérieure.

Les personnes exposées à une surveillance ciblée peuvent envisager d’activer le Mode Isolement, ou Lockdown Mode. Cette configuration réduit la surface d’attaque en limitant certaines fonctions et certains contenus susceptibles d’être exploités par des spywares sophistiqués.

Pour Android, Google recommande aux utilisateurs présentant un risque élevé d’adhérer à l’Advanced Protection Program, qui applique des contrôles plus stricts au compte et aux procédures de connexion.

Meta a également introduit dans WhatsApp la fonctionnalité Strict Account Settings. Ce réglage active automatiquement des protections renforcées et bloque les pièces jointes ainsi que les contenus multimédias envoyés par des contacts qui ne figurent pas dans le carnet d’adresses.

Ces mesures réduisent les risques, mais ne remplacent pas une analyse forensique lorsqu’un soupçon concret existe. Toute personne qui reçoit une notification de menace d’Apple, dont le téléphone est temporairement saisi ou qui constate la diffusion anormale de ses communications devrait préserver l’appareil et s’adresser à des spécialistes qualifiés, en évitant toute réinitialisation susceptible d’effacer des traces utiles.