Pegasus colpisce il movimento studentesco serbo con un exploit zero-click su iMessage

Un iPhone compromesso senza alcuna azione della vittima

Citizen Lab e SHARE Foundation hanno accertato la compromissione dell’iPhone di un componente del movimento studentesco serbo attraverso Pegasus, lo spyware mercenario sviluppato da NSO Group.

La vicenda, emersa il 3 settembre 2026, riguarda un attacco attribuito con elevata confidenza a un exploit zero-click veicolato tramite Apple iMessage. Questa tecnica consente di compromettere un dispositivo senza convincere il bersaglio ad aprire un allegato, seguire un collegamento o rispondere a un messaggio.

Le tracce forensi individuate sul telefono coprono il periodo compreso tra dicembre 2025 e gennaio 2026. Gli investigatori, tuttavia, non escludono che possano essersi verificate altre infezioni non rilevate.

Non sono noti il modello esatto dell’iPhone, la versione di iOS installata al momento dell’attacco o il giorno preciso della compromissione. Questi elementi sarebbero necessari per ricostruire con maggiore precisione la catena di infezione e capire perché il dispositivo fosse ancora vulnerabile.

L’exploit iMessage associato al caso risulta infatti corretto da Apple con iOS 18.4.1, distribuito ad aprile 2025. La patch precede quindi il periodo coperto dagli indicatori forensi. In assenza della configurazione del telefono non è possibile stabilire se il bersaglio utilizzasse una versione precedente di iOS o se siano intervenuti altri fattori.

Non è stato indicato un identificativo CVE per la vulnerabilità. Non risultano inoltre informazioni su un eventuale inserimento nel catalogo Known Exploited Vulnerabilities della CISA.

Le notifiche Apple hanno coinvolto utenti in 110 Paesi

L’indagine è maturata dopo una nuova tornata di notifiche inviate da Apple a persone considerate possibili bersagli di spyware mercenario. Gli avvisi hanno interessato utenti in 110 Paesi, ma il numero complessivo dei destinatari non è stato comunicato.

Queste notifiche non dimostrano automaticamente che un telefono sia stato compromesso. Segnalano però che Apple ha rilevato attività coerenti con campagne di sorveglianza altamente mirate, normalmente diverse dal malware distribuito su vasta scala.

Nel caso serbo, le successive analisi forensi hanno consentito di collegare l’infezione a Pegasus e a un vettore iMessage privo di interazione. L’attribuzione riguarda lo strumento impiegato, mentre non sono stati forniti elementi tecnici sufficienti per identificare pubblicamente l’operatore della piattaforma o ricostruire la sua infrastruttura.

Non sono stati resi noti domini, indirizzi IP, hash o altri indicatori di compromissione utilizzabili dagli amministratori per una ricerca autonoma. La verifica richiede quindi notifiche del fornitore, acquisizioni forensi e analisi specialistiche del dispositivo.

Almeno 14 persone colpite in Serbia dall’inizio del 2026

Il caso non appare isolato. Secondo SHARE Foundation, almeno 14 persone in Serbia sono state raggiunte da spyware avanzato dall’inizio del 2026.

Tra i bersagli figurano componenti del movimento studentesco, attivisti, un parlamentare e un consigliere locale appartenente a partiti di opposizione. Gli episodi hanno coinciso con le elezioni locali del 29 marzo 2026, collocando le operazioni di sorveglianza in una fase politicamente sensibile.

Il numero indicato potrebbe non descrivere l’intera portata della campagna. Le infezioni zero-click possono lasciare tracce limitate, mentre alcune vittime potrebbero non avere ricevuto avvisi o sottoposto il proprio telefono a un esame forense.

Le conseguenze non riguardano soltanto la riservatezza individuale. La compromissione di membri di movimenti politici e civici può esporre reti di contatti, comunicazioni interne e informazioni sulle attività organizzative. Nel caso serbo esiste inoltre un riscontro concreto dell’uso pubblico di materiale privato sottratto da uno smartphone.

NoviSpy installato su telefoni Android sequestrati

Parallelamente alla campagna Pegasus, sono emersi due episodi relativi a una nuova variante dello spyware Android NoviSpy.

Un componente del movimento studentesco ha subito la compromissione del proprio telefono dopo che il dispositivo era stato sequestrato durante un interrogatorio di polizia. La dinamica è diversa dall’attacco zero-click contro iPhone: in questo caso chi ha operato sul telefono avrebbe avuto accesso fisico al dispositivo.

SHARE Foundation ha rilevato la stessa variante di NoviSpy su un secondo smartphone. Da quel dispositivo erano stati estratti messaggi privati di Viber, successivamente divulgati in diretta da Informer TV, emittente televisiva serba filogovernativa.

L’episodio mostra un impatto immediato e verificabile. I dati acquisiti non sarebbero rimasti confinati a un’attività di sorveglianza, ma sarebbero stati impiegati per rendere pubbliche comunicazioni private del bersaglio.

Amnesty International Security Lab ritiene che le autorità serbe abbiano installato strumenti spyware Android invasivi mentre gli studenti erano detenuti. La nuova minaccia offre funzioni analoghe a NoviSpy, ma include modifiche pensate specificamente per ostacolare il lavoro dei ricercatori e ridurre le probabilità di rilevamento.

Non sono note le versioni di Android interessate, né eventuali vulnerabilità sfruttate dalla nuova variante. Non è stato chiarito neppure se l’installazione richieda lo sblocco del telefono o possa avvenire tramite strumenti forensi capaci di superarne le protezioni.

Il ruolo degli strumenti forensi Cellebrite

Le nuove compromissioni si inseriscono in precedenti casi documentati in Serbia nei quali strumenti forensi Cellebrite sono stati impiegati per distribuire NoviSpy.

Le piattaforme di mobile forensics sono progettate per acquisire dati dai dispositivi nell’ambito di indagini. Se combinate con spyware invasivi, tuttavia, possono trasformare un sequestro temporaneo in un accesso persistente al telefono anche dopo la sua restituzione.

Questa modalità rende particolarmente vulnerabili studenti, giornalisti, attivisti e oppositori convocati per interrogatori. L’utente può riottenere un dispositivo apparentemente integro, mentre il software installato tenta di nascondere la propria presenza.

Le modifiche anti-rilevamento individuate nella nuova minaccia Android indicano inoltre un adattamento alle tecniche usate dai laboratori indipendenti. Non sono stati divulgati dettagli sufficienti per stabilire quali componenti del sistema vengano alterati o quali controlli siano elusi.

Aggiornamenti e modalità di protezione per gli utenti a rischio

La prima misura per gli utenti Apple è installare tutti gli aggiornamenti disponibili. Nel caso specifico, la correzione dell’exploit iMessage è inclusa in iOS 18.4.1. Chi utilizza un dispositivo compatibile dovrebbe verificare di non essere rimasto su una versione precedente.

Le persone esposte a sorveglianza mirata possono valutare la Modalità isolamento, o Lockdown Mode. Questa configurazione riduce la superficie d’attacco limitando alcune funzioni e contenuti che possono essere sfruttati da spyware sofisticati.

Per Android, Google raccomanda agli utenti ad alto rischio l’adesione all’Advanced Protection Program, che applica controlli più restrittivi all’account e alle procedure di accesso.

Meta ha inoltre introdotto su WhatsApp la funzione Strict Account Settings. L’impostazione applica automaticamente protezioni più rigide e blocca allegati e contenuti multimediali inviati da contatti non presenti in rubrica.

Queste misure riducono il rischio, ma non sostituiscono un’analisi forense quando esiste un sospetto concreto. Chi riceve una notifica di minaccia da Apple, subisce il sequestro temporaneo del telefono o osserva la diffusione anomala di proprie comunicazioni dovrebbe preservare il dispositivo e rivolgersi a specialisti qualificati, evitando ripristini che potrebbero cancellare tracce utili.