Pegasus e NoviSpy contro gli studenti serbi: confermato un attacco zero-click su iPhone

Un esponente del movimento studentesco serbo è stato infettato con Pegasus attraverso un exploit zero-click di iMessage. L’attacco non richiedeva di aprire allegati, selezionare collegamenti o rispondere a un messaggio: era sufficiente che il contenuto malevolo raggiungesse il dispositivo.

Citizen Lab ha confermato la compromissione esaminando gli artefatti forensi dell’iPhone insieme alla SHARE Foundation. L’analisi è iniziata dopo che Apple aveva avvisato il proprietario di un possibile attacco con spyware mercenario.

Gli indicatori dell’infezione sono stati collocati con elevata confidenza tra dicembre 2025 e gennaio 2026. Il caso, segnalato di recente, appare inserito in una campagna molto più estesa contro studenti, attivisti e rappresentanti dell’opposizione serba.

L’avviso di Apple seguito dalla conferma forense

Le notifiche di minaccia di Apple sono destinate agli utenti che, secondo i sistemi dell’azienda, potrebbero essere stati presi di mira da operatori di spyware mercenario associati ad attività sponsorizzate da Stati. Non sono avvisi generici e non indicano una comune infezione da malware.

La ricezione della notifica, tuttavia, non dimostra da sola che il telefono sia stato compromesso. Serve un’analisi forense capace di ricostruire processi, file, registri e altre tracce lasciate dall’exploit o dallo spyware.

Nel caso dello studente serbo, questa verifica ha prodotto una conferma: sul dispositivo erano presenti indicatori compatibili con un’infezione Pegasus. Citizen Lab non ha escluso ulteriori compromissioni, ma il loro numero non è stato determinato.

Non sono stati resi noti il modello dell’iPhone, la versione di iOS installata al momento dell’attacco e l’identificativo tecnico dell’exploit. Di conseguenza, non è possibile definire l’intero intervallo delle versioni vulnerabili. È invece noto che Apple ha neutralizzato lo specifico vettore con le correzioni distribuite a partire da iOS 18.4.1.

Non è stato indicato un codice CVE associato all’exploit. Non sono disponibili neppure informazioni su un suo eventuale inserimento nel catalogo KEV della CISA.

Almeno 14 persone prese di mira dall’inizio del 2026

La SHARE Foundation ha documentato almeno 14 persone raggiunte da operazioni con spyware avanzato dall’inizio del 2026. Gli obiettivi appartengono a categorie politicamente sensibili:

• componenti del movimento studentesco;
• attivisti della società civile;
• un parlamentare dell’opposizione;
• un consigliere locale.

Dodici persone hanno contattato il gruppo di analisi forense della fondazione in agosto, dopo aver ricevuto notifiche di minaccia da Apple. Undici dispositivi restano classificati come potenzialmente infetti e richiedono ulteriori accertamenti.

Questa distinzione è essenziale. Al momento, l’infezione Pegasus confermata attraverso analisi forense riguarda un iPhone; gli altri avvisi indicano un rischio concreto, ma non equivalgono automaticamente a undici compromissioni già provate.

Secondo la SHARE Foundation, si tratta della più vasta ondata di sorveglianza documentata finora in Serbia. La selezione degli obiettivi suggerisce un’operazione costruita attorno alle relazioni politiche e organizzative del movimento di protesta, più che una campagna indiscriminata.

Compromettere anche un solo componente di una rete può esporre molte altre persone. Messaggi, rubriche, calendari, fotografie e cronologie delle comunicazioni possono rivelare contatti, incontri, fonti e strutture interne di un’organizzazione.

Come funziona un’infezione zero-click tramite iMessage

Gli attacchi zero-click sfruttano componenti che elaborano automaticamente i dati ricevuti. Nel caso esaminato, la superficie d’attacco era iMessage: il sistema poteva processare il contenuto malevolo senza che il destinatario lo aprisse o interagisse con esso.

Questo elimina uno dei principali segnali di rischio per l’utente. Non c’è necessariamente un collegamento sospetto da riconoscere, un allegato insolito da evitare o una richiesta di credenziali da respingere.

Una volta installato, Pegasus può consentire all’operatore di estrarre messaggi, fotografie, note e altri dati presenti sul telefono. Può inoltre raggiungere contenuti che l’utente considera protetti dalla cifratura, perché lo spyware opera direttamente sul dispositivo dove tali informazioni vengono visualizzate o create.

Le capacità attribuite a Pegasus comprendono anche l’attivazione nascosta di microfono e fotocamera. Lo smartphone può così diventare un sensore ambientale, utilizzabile per ascoltare conversazioni o osservare ciò che avviene intorno alla vittima.

L’assenza di sintomi visibili non indica che il dispositivo sia sicuro. Spyware di questa classe sono progettati per ridurre le tracce operative, evitare notifiche evidenti e limitare i comportamenti che potrebbero insospettire il proprietario.

NoviSpy trovato su un telefono Android sequestrato

Pegasus non è l’unico strumento emerso dalle indagini. In un episodio separato, SHARE Foundation e Amnesty Tech hanno individuato una nuova versione di NoviSpy sul telefono Android di uno studente attivista.

Il dispositivo era stato sequestrato dalle autorità serbe durante un interrogatorio di polizia. I dettagli forensi disponibili indicano che l’installazione dello spyware sarebbe avvenuta mentre il telefono si trovava sotto il controllo delle autorità.

Non sono stati comunicati il modello del dispositivo, la versione di Android interessata o un elenco completo delle funzionalità della nuova variante. NoviSpy è descritto come uno spyware sviluppato localmente.

Donncha Ó Cearbhaill, responsabile del Security Lab di Amnesty International, ha collegato i risultati alla prosecuzione delle campagne di sorveglianza contro gli studenti. Il caso differisce tecnicamente dall’attacco Pegasus: qui il possibile vettore non è un exploit remoto zero-click, ma l’accesso fisico a un telefono sequestrato.

Non sarebbe un precedente isolato. Citizen Lab aveva già documentato in Serbia l’impiego di strumenti Cellebrite per accedere ai dispositivi e installare NoviSpy sui telefoni di attivisti. Cellebrite e NoviSpy svolgono ruoli distinti: il primo può facilitare l’accesso al dispositivo, mentre il secondo realizza la sorveglianza successiva.

Una campagna nel pieno del confronto politico

Le operazioni si collocano durante le proteste studentesche contro il governo e la corruzione. Gli episodi documentati interessano inoltre il periodo vicino alle elezioni locali del 29 marzo 2026 e precedono le elezioni parlamentari anticipate previste in ottobre.

La combinazione degli obiettivi è significativa. Studenti, attivisti, rappresentanti locali e parlamentari dell’opposizione condividono un’esposizione politica che può rendere particolarmente preziose le loro comunicazioni interne.

I dati disponibili non identificano pubblicamente il singolo operatore responsabile dell’infezione Pegasus. Le notifiche Apple segnalano una probabile attività di spyware mercenario sponsorizzata da uno Stato, ma l’attribuzione tecnica e istituzionale dell’attacco non è stata resa nota.

La Serbia aveva già registrato casi di utilizzo di Pegasus contro esponenti della società civile. Il nuovo episodio si inserisce quindi in una serie di operazioni documentate, alle quali si aggiunge l’impiego locale di NoviSpy.

Aggiornamenti, Modalità di isolamento e assistenza forense

Gli utenti Apple devono installare gli aggiornamenti più recenti su tutti i propri dispositivi. Lo specifico exploit iMessage osservato nell’attacco è stato corretto con gli aggiornamenti inclusi in iOS 18.4.1 e nelle versioni successive.

Per giornalisti, politici, attivisti e difensori dei diritti umani esposti a rischi mirati, Apple raccomanda anche la Modalità di isolamento. Questa funzione riduce le superfici utilizzabili dagli exploit, limitando alcune caratteristiche di messaggistica, navigazione e comunicazione.

Chi riceve una Apple Threat Notification dovrebbe trattare il telefono come potenzialmente compromesso. Ripristinare immediatamente il dispositivo o cancellarne i contenuti può distruggere elementi utili all’indagine; prima di intervenire è preferibile chiedere assistenza specializzata e preservare le prove.

In Serbia, il riferimento indicato è la SHARE Foundation. Negli altri Paesi, i membri della società civile ad alto rischio possono contattare la Digital Security Helpline di Access Now.

La priorità non è cercare rallentamenti, consumo anomalo della batteria o applicazioni sconosciute. In un attacco zero-click professionale questi segnali possono non comparire affatto. Un avviso mirato di Apple richiede invece una risposta rapida, coordinata e forense.