O iPhone de Vladan Djokic, reitor da Universidade de Belgrado e um dos principais apoiadores do movimento estudantil de protestos da Sérvia, foi infectado com o spyware Pegasus, da NSO Group, em 2026, informou o Citizen Lab em 19 de outubro.
A descoberta ocorreu seis dias antes da eleição parlamentar antecipada da Sérvia, marcada para 25 de outubro. A infecção usou uma falha de segurança de zero clique, o que significa que Djokic não precisou clicar em um link nem abrir um arquivo para que o ataque funcionasse.
O laboratório identificou a infecção com alta confiança, mas sua nota não informa a data da infecção dentro de 2026, não identifica quem esteve por trás do ataque e indica que a investigação continua em andamento.
A eleição foi convocada em setembro, após quase dois anos de protestos que começaram quando a cobertura de uma estação ferroviária desabou em Novi Sad, em novembro de 2024, matando 16 pessoas. A votação foi marcada pelo presidente do país.
O Citizen Lab, grupo de pesquisa da Universidade de Toronto, analisou artefatos forenses do aparelho a pedido de Djokic, em parceria com o grupo sérvio de direitos digitais SHARE Foundation. A SHARE liderou a investigação de uma onda anterior de casos sérvios tornados públicos em setembro.
Um segundo caso envolve Rade Bajic, assessor sênior de promotoria do Escritório do Procurador Público para Crime Organizado da Sérvia, que trabalhou na investigação de corrupção conhecida como 'Generalstab', sobre um projeto imobiliário ligado a Kushner em Belgrado. Bajic recebeu uma Notificação de Ameaça da Apple em 13 de agosto e um lembrete em 27 de agosto.
A Apple envia esses alertas quando detecta atividade compatível com um ataque de spyware mercenário, as ferramentas comerciais de invasão que empresas como a NSO vendem a governos, e não informa quem está por trás dos ataques.
O Citizen Lab trata a notificação como um sinal de alta confiança de que o telefone de Bajic provavelmente foi alvo. A análise forense do aparelho está em andamento, e a nota não diz se o telefone foi infectado.
O caso Generalstab envolve a remoção da proteção de patrimônio histórico do antigo complexo do Estado-Maior do Exército de Belgrado, bombardeado e abandonado, para abrir caminho para um empreendimento de luxo apoiado por uma empresa ligada a Jared Kushner, genro do presidente dos EUA, Donald Trump.
Em dezembro de 2025, promotores acusaram o ministro da Cultura, Nikola Selakovic, e outros três funcionários por abuso de função e falsificação de documentos no caso, informou a Associated Press. Bajic afirma que foi afastado da investigação em novembro de 2025, sem explicação, e, em fevereiro, falou sobre o caso em um protesto convocado por ativistas estudantis em frente ao Tribunal Constitucional da Sérvia.
A nota do laboratório não diz o que, se é que algo, foi retirado do telefone do reitor. O Pegasus concede a quem o opera o mesmo acesso do dono do aparelho, incluindo mensagens privadas e criptografadas, e pode ativar o microfone e a câmera sem que o dono saiba, segundo a análise do caso de setembro feita pelo laboratório.
Djokic chamou o spyware em seu celular de 'outra tentativa de intimidação' em um comunicado em inglês divulgado pela universidade. Ele exigiu uma investigação independente sem demora, com resultados tornados públicos e a responsabilização de quem instalou e usou o programa. A polícia fez buscas nos escritórios do reitor em 31 de março e apreendeu computadores e servidores, disse ele na época.
A Agência de Informações de Segurança (BIA), serviço de segurança civil da Sérvia, rejeitou as denúncias de setembro de que estudantes e políticos de oposição haviam sido espionados, classificando-as como 'puro sensacionalismo trivial', em um comunicado de 3 de setembro, conforme traduzido pela emissora N1. A agência afirmou também que atua estritamente dentro da lei sérvia.
Os dois casos ampliam uma onda que a SHARE divulgou em 2 de setembro, quando afirmou que pelo menos 14 pessoas na Sérvia, entre elas ativistas estudantis, um deputado de oposição e um vereador local, haviam sido alvo de spyware desde o início do ano. Doze delas receberam Notificações de Ameaça da Apple em agosto, mês em que a empresa alertou usuários em 110 países.
Uma delas era Jelena Kontic, estudante cuja infecção por Pegasus foi confirmada pelo Citizen Lab. Os outros dois tiveram instalada uma nova versão do NoviSpy, um spyware para Android.
Segundo a contagem do Citizen Lab, os dois novos casos elevam para pelo menos 16 o número de pessoas da sociedade civil sérvia publicamente conhecidas como alvos ou infectadas por spyware mercenário neste ano.
A Anistia Internacional informou em dezembro de 2024 que o NoviSpy foi configurado para enviar dados roubados a um servidor cujo endereço IP (sigla para Internet Protocol, ou protocolo de internet) pertencia à BIA. Segundo a entidade, o programa era instalado em telefones de ativistas e jornalistas durante interrogatórios policiais, depois que os aparelhos eram desbloqueados com ferramentas forenses da Cellebrite.
Advogados de Kontic apresentaram uma denúncia criminal em 6 de outubro contra pessoas não identificadas na BIA e na polícia, além de responsáveis pela NSO Group. Segundo a SHARE, o Pegasus é vendido apenas a governos e agências estatais, e as denúncias já apresentadas sobre spyware na Sérvia não resultaram em nenhuma ação efetiva.
A nota não identifica a falha usada contra o telefone de Djokic nem informa se as versões atuais do iOS a bloqueiam. Por isso, não há uma correção específica a ser instalada. O laboratório recomenda às pessoas em risco por quem são ou pelo que fazem:
- Ative o Modo Lockdown no seu iPhone e mantenha o iOS atualizado.
- Se receber uma Notificação de Ameaça da Apple, presuma que o aparelho está infectado até que um especialista o verifique e busque ajuda imediatamente: a SHARE Foundation, na Sérvia, ou o Digital Security Helpline da Access Now em outros países.
- Peça que contatos próximos, como familiares e colegas de trabalho, também sejam verificados quanto a spyware.
