Pegasus infetta con zero-click iMessage un attivista serbo: lo spyware ritorna

🛡️ Executive Summary

• Citizen Lab conferma Pegasus sull’iPhone di un membro del movimento studentesco serbo attraverso un exploit zero-click contro iMessage.
• Gli indicatori forensi collocano l’infezione tra dicembre 2025 e gennaio 2026; Apple avrebbe neutralizzato l’exploit con iOS 18.4.1.
• SHARE Foundation documenta almeno 14 persone colpite da spyware avanzato in Serbia nel 2026, tra studenti, attivisti e politici d’opposizione.

Pegasus torna a colpire iPhone attraverso una catena zero-click e questa volta il bersaglio confermato appartiene al movimento studentesco pro-democrazia serbo. Citizen Lab, insieme alla SHARE Foundation, ha verificato forensicamente l’infezione di un dispositivo Apple attraverso iMessage, senza che la vittima dovesse aprire link, installare applicazioni o interagire con contenuti malevoli. Gli indicatori ad alta confidenza collocano l’attività tra dicembre 2025 e gennaio 2026, mentre il vettore sfruttato sarebbe stato successivamente neutralizzato da Apple con iOS 18.4.1. Il caso non è isolato: SHARE Foundation documenta almeno 14 persone prese di mira in Serbia nel 2026, nella più vasta ondata di spyware avanzato finora registrata nel Paese.

Citizen Lab conferma Pegasus sull’iPhone di un attivista studentesco

L’analisi pubblicata da Citizen Lab il 2 settembre parte da un Apple Threat Notification ricevuto da un membro del movimento studentesco serbo. L’analisi forense successiva ha identificato artefatti compatibili ad alta confidenza con un’infezione riuscita di Pegasus, lo spyware commerciale sviluppato da NSO Group. Citizen Lab afferma esplicitamente che l’attacco ha utilizzato un exploit zero-click contro iMessage e precisa che la finestra temporale osservata comprende dicembre 2025 e gennaio 2026, senza escludere ulteriori compromissioni avvenute al di fuori del periodo per il quale sono disponibili tracce sufficienti. La vittima ha consentito la divulgazione pubblica del caso ma ha chiesto di restare anonima, motivo per cui i ricercatori non pubblicano data e ora precise dell’infezione. Il caso segue quello dell’ex europarlamentare Stelios Kouloglou, già ricostruito da Matrice Digitale dopo la conferma di infezioni Pegasus durante il lavoro del comitato PEGA. Anche in quel caso il valore dell’operazione non dipendeva dall’infezione di uno smartphone casuale, ma dalla posizione del bersaglio: un membro dell’organo europeo incaricato di indagare proprio sugli abusi dello spyware commerciale. In Serbia la stessa logica di targeting selettivo emerge ora nei confronti di studenti, attivisti e figure politiche.

Lo zero-click iMessage elimina completamente l’interazione della vittima

La caratteristica operativa più importante è l’assenza di interazione. Un exploit zero-click non richiede alla vittima di aprire consapevolmente un link, installare un file o accettare una richiesta. Il contenuto malevolo viene elaborato automaticamente da un componente del sistema e la catena di exploit tenta di ottenere progressivamente capacità sufficienti per installare lo spyware. Citizen Lab ritiene che nel caso serbo il vettore iniziale sia stato proprio Apple iMessage. Una volta installato, Pegasus consente all’operatore un livello di accesso che Citizen Lab descrive come sostanzialmente equivalente a quello del proprietario del dispositivo: messaggi, fotografie, note, dati delle applicazioni, contenuti delle comunicazioni cifrate, oltre alla possibilità di attivare silenziosamente microfono e fotocamera. Proprio questa capacità rende gli spyware mercenari profondamente differenti dai malware consumer tradizionali. Non servono campagne su larga scala né migliaia di infezioni: il valore economico e operativo deriva dalla possibilità di compromettere pochi obiettivi accuratamente selezionati e raccogliere informazioni altamente sensibili. Matrice Digitale aveva già documentato il ruolo centrale delle catene zero-click nella nuova ondata di Threat Notification inviata da Apple in 110 Paesi. In quel caso era necessario distinguere tra targeting e compromissione effettivamente confermata. Nel caso serbo questo passaggio è stato superato: Citizen Lab dispone di evidenze forensi sufficienti per affermare che Pegasus è stato realmente installato.

Leggi anche: Pegasus infetta l’ex europarlamentare Kouloglou mentre indaga sugli abusi degli spyware in Europa

Apple avrebbe neutralizzato il vettore con iOS 18.4.1

Citizen Lab ritiene che l’exploit utilizzato nell’operazione sia stato successivamente corretto da Apple a partire da iOS 18.4.1. Questo dettaglio è importante perché l’infezione osservata risale a un periodo precedente rispetto alla scoperta forense e non indica necessariamente l’esistenza, oggi, di uno zero-day ancora utilizzabile sulle versioni correnti di iOS. La distinzione tra attacco appena scoperto e vulnerabilità ancora aperta è essenziale. Gli artefatti possono emergere mesi dopo l’intrusione e un exploit può essere già stato reso inefficace attraverso modifiche di sicurezza distribuite senza che Apple attribuisca pubblicamente la patch a una specifica campagna spyware. Citizen Lab afferma infatti di ritenere che le versioni recenti di iOS abbiano reso inefficace la tecnica osservata e raccomanda di mantenere il sistema costantemente aggiornato. Questo elemento dimostra anche perché i dispositivi appartenenti a persone ad alto rischio non possano essere gestiti come normali smartphone consumer. Ritardare un aggiornamento di alcune settimane può significare mantenere aperta una superficie già disponibile a operatori commerciali specializzati, anche quando la vulnerabilità non è pubblicamente conosciuta.

In Serbia almeno 14 persone sono state prese di mira nel 2026

Il caso Pegasus si inserisce in una campagna più ampia. La SHARE Foundation dichiara di avere documentato almeno 14 persone prese di mira da spyware avanzato in Serbia dall’inizio del 2026, definendo il fenomeno la più vasta ondata di sorveglianza di questo tipo mai registrata nel Paese. I bersagli comprendono membri del movimento studentesco, attivisti, un parlamentare e un consigliere locale appartenente all’opposizione. SHARE sottolinea inoltre la coincidenza temporale con il ciclo elettorale e in particolare con le elezioni locali del 29 marzo 2026. Questa correlazione temporale non costituisce da sola una prova tecnica dell’identità dell’operatore Pegasus, e Citizen Lab non attribuisce pubblicamente l’infezione a uno specifico organismo statale. La natura dei bersagli e la precedente storia di sorveglianza digitale in Serbia rendono però il contesto politicamente rilevante. Nell’agosto 2026 dodici persone hanno contattato gli specialisti forensi di SHARE dopo aver ricevuto notifiche Apple relative ad attività spyware. Non tutte queste notifiche equivalgono automaticamente a infezioni Pegasus confermate: Apple stessa tratta i propri avvisi come indicatori ad alta confidenza di targeting, non come diagnosi forense del malware installato. È precisamente l’analisi indipendente del dispositivo a permettere, nel caso dell’attivista studentesco, l’attribuzione tecnica a Pegasus.

NoviSpy mostra che la sorveglianza serba non passa solo da NSO Group

Parallelamente al caso Pegasus, SHARE Foundation e Amnesty International Security Lab hanno individuato una nuova variante di spyware Android simile a NoviSpy sul telefono di un altro membro del movimento studentesco. Qui il modello operativo è diverso dallo zero-click remoto: precedenti indagini avevano documentato l’installazione di NoviSpy dopo che i dispositivi erano stati fisicamente sequestrati durante interrogatori di polizia. Citizen Lab ricorda esplicitamente la precedente combinazione tra strumenti forensi Cellebrite e NoviSpy, nella quale l’accesso fisico al dispositivo e le capacità di estrazione venivano utilizzati per predisporre l’installazione dello spyware. La nuova variante sarebbe stata sviluppata con modifiche specifiche per rendere più difficile il lavoro dei ricercatori di sicurezza. Il quadro è quindi più articolato di una singola campagna Pegasus. In Serbia emergono contemporaneamente spyware mercenario remoto, strumenti forensi e malware Android installato in condizioni di controllo fisico del dispositivo. Tecniche diverse possono perseguire obiettivi analoghi di accesso alle comunicazioni, ai dati e all’attività privata dei bersagli. La distinzione conta anche sul piano difensivo. Una catena zero-click richiede soprattutto patch tempestive, hardening del dispositivo e riduzione della superficie esposta ai servizi di messaggistica. Un dispositivo sequestrato fisicamente richiede invece procedure completamente diverse, perché il livello di fiducia del terminale deve essere rivalutato al momento della restituzione.

Le notifiche Apple diventano un sensore per le campagne mercenarie

La scoperta parte proprio da un’Apple Threat Notification, uno strumento che negli ultimi anni è diventato una delle principali fonti attraverso cui giornalisti, attivisti e oppositori politici scoprono di essere stati selezionati da operatori di spyware commerciale. Apple non rende pubblici tutti i segnali tecnici utilizzati per generare questi avvisi, principalmente per evitare che produttori e operatori possano adattare le proprie tecniche. Citizen Lab considera però la ricezione della notifica un evento sufficientemente serio da raccomandare al destinatario di trattare il telefono come presumibilmente compromesso fino a verifica forense. Questo non contraddice il fatto che una notifica non equivalga automaticamente a una infezione riuscita. Significa che, per un utente ad alto rischio, il costo di sottovalutare l’avviso è molto superiore al costo di avviare un’analisi che successivamente non trovi artefatti. È una logica di risposta agli incidenti costruita sul profilo del bersaglio e non sulla probabilità statistica di una normale infezione malware.

Lockdown Mode resta la difesa specifica per i profili ad alto rischio

Citizen Lab torna a raccomandare Lockdown Mode agli utenti che, per professione o ruolo pubblico, potrebbero essere bersaglio di spyware mercenario. La modalità riduce deliberatamente alcune funzionalità di iOS e limita superfici che storicamente sono state utilizzate dalle catene zero-click, accettando quindi un peggioramento dell’esperienza d’uso in cambio di un modello di sicurezza più restrittivo. L’obiettivo non è rendere l’iPhone invulnerabile, ma ridurre il numero di componenti complessi raggiungibili da remoto e rendere più costoso adattare una catena exploit al dispositivo. Per giornalisti, parlamentari, attivisti, diplomatici e persone coinvolte in procedimenti politicamente sensibili, la scelta ha un rapporto costi-benefici completamente diverso rispetto a quello di un utente comune. WhatsApp ha seguito una strada simile introducendo impostazioni più restrittive per i profili esposti, mentre Apple continua a distribuire notifiche dedicate alle campagne mercenarie. La recente allerta italiana sugli attacchi WhatsApp zero-click dimostra come la protezione dei servizi di messaggistica sia ormai una componente strutturale della sicurezza mobile.

Continua con:

• Apple avvisa utenti in 110 Paesi per nuovi attacchi di spyware mercenario
• WhatsApp blocca nuove campagne spyware collegate a NSO Group

Pegasus resta operativo mentre cresce l’ecosistema dello spyware commerciale

Il caso serbo dimostra soprattutto che Pegasus continua a essere operativo contro obiettivi politici e della società civile, anche dopo anni di rivelazioni, cause giudiziarie, sanzioni e rafforzamento delle protezioni Apple. L’industria dello spyware mercenario non dipende infatti da una singola vulnerabilità: il valore commerciale deriva dalla capacità di sviluppare o acquistare continuamente nuove catene di exploit man mano che quelle precedenti vengono corrette. La conferma forense di Citizen Lab è significativa proprio perché evita due errori opposti. Non basta ricevere un alert Apple per dichiarare automaticamente un’infezione Pegasus, ma quando l’analisi forense identifica indicatori ad alta confidenza è altrettanto sbagliato ridurre il caso a una generica “minaccia spyware”. In Serbia esiste ora un’infezione Pegasus zero-click confermata, collocata tra dicembre 2025 e gennaio 2026, all’interno di una campagna più ampia che ha coinvolto almeno 14 persone. La tecnica iMessage utilizzata risulterebbe già neutralizzata dalle versioni successive di iOS, ma questo non riduce il significato dell’operazione: dimostra che operatori di spyware mercenario hanno continuato a disporre di capacità zero-click efficaci contro iPhone moderni e a impiegarle selettivamente contro movimenti politici e società civile. Il vero indicatore da osservare non è quindi soltanto quale exploit venga corretto oggi, ma quanto rapidamente l’industria della sorveglianza riesca a sostituirlo con quello successivo.