Lo spyware Pegasus infetta un iPhone in Serbia tramite zero-click

I ricercatori di Citizen Lab e della SHARE Foundation hanno confermato che lo spyware Pegasus di NSO Group ha infettato l'iPhone di un membro del movimento di protesta studentesco serbo tramite uno zero-click exploit di iMessage. Uno zero-click exploit è una tecnica di hacking che compromette un dispositivo senza che il proprietario debba toccare un link, aprire un allegato o compiere qualsiasi azione; semplicemente ricevere un messaggio appositamente creato può essere sufficiente. iMessage è il servizio di messaggistica integrato di Apple per iPhone, iPad e Mac. Pegasus è un potente spyware commerciale venduto da NSO Group che può monitorare silenziosamente un dispositivo.

Citizen Lab ha dichiarato che l'attacco ha utilizzato uno zero-click exploit di iMessage, e la sua analisi ha trovato indicatori di infezione ad alta confidenza nel periodo da dicembre 2025 a gennaio 2026, pur notando che non si possono escludere infezioni aggiuntive. La specifica vulnerabilità di iMessage sfruttata in questo caso è stata corretta da Apple in iOS 18.4.1, rilasciato ad aprile 2025. Ciò significa che i dispositivi con iOS 18.4.1 o versioni successive dovrebbero essere protetti da questo particolare percorso di sfruttamento, anche se i venditori di spyware cercano continuamente nuove vulnerabilità.

La scoperta segue l'invio da parte di Apple di una nuova serie di notifiche di minaccia ai clienti che sospettava potessero essere stati presi di mira da attacchi di spyware mercenario. Gli avvisi sono stati inviati a un numero non specificato di utenti in 110 paesi. Lo spyware mercenario si riferisce a software di sorveglianza commerciale venduto a governi o altri clienti per il monitoraggio mirato, spesso senza la conoscenza o il consenso del bersaglio. Le notifiche di minaccia di Apple sono progettate per avvisare le persone che potrebbero essere prese di mira individualmente a causa di chi sono o di ciò che fanno.

La SHARE Foundation ha confermato che almeno 14 persone in Serbia sono state prese di mira con spyware avanzato dall'inizio del 2026. I bersagli includevano membri del movimento studentesco, attivisti, un membro del parlamento e un consigliere locale dei partiti di opposizione. La tempistica di questi incidenti ha coinciso con le elezioni locali tenutesi il 29 marzo 2026. In un incidente separato, un altro membro del movimento studentesco ha avuto il telefono compromesso con una nuova versione dello spyware Android NoviSpy dopo che il dispositivo è stato confiscato durante un interrogatorio della polizia. NoviSpy è un noto strumento spyware Android che può rubare silenziosamente dati privati da un telefono. Donncha Ó Cearbhaill, capo del Security Lab di Amnesty International, ha dichiarato che i risultati forensi dimostrano che gli studenti serbi continuano a essere presi di mira con strumenti spyware Android invasivi installati mentre sono detenuti dalle autorità. Ha aggiunto che il caso più recente del 2026 rivela un nuovo spyware Android simile per funzionalità a NoviSpy, ma costruito di recente con sforzi specifici per evitare il rilevamento da parte degli esperti di sicurezza.

SHARE ha dichiarato che lo stesso ceppo di spyware è stato rilevato su un secondo dispositivo, dopo che messaggi privati di Viber da quel telefono sono stati divulgati in diretta su Informer TV, un canale televisivo serbo filogovernativo. Lo sviluppo è l'ultimo di una serie di abusi documentati della tecnologia di sorveglianza nel paese, incluso l'uso di strumenti forensi Cellebrite per distribuire NoviSpy. Gli strumenti forensi sono software o hardware utilizzati dagli investigatori per estrarre dati dai dispositivi, ma possono anche essere abusati per installare spyware all'insaputa del proprietario.

Per le persone che potrebbero essere a rischio a causa di chi sono e di ciò che fanno, i ricercatori e i fornitori di tecnologia offrono protezioni specifiche. Gli utenti dovrebbero mantenere i propri dispositivi aggiornati e prendere in considerazione l'attivazione della Modalità Lockdown su iOS. La Modalità Lockdown è un'impostazione dell'iPhone che blocca molte funzionalità avanzate per rendere più difficile l'ingresso dello spyware. Google offre un Programma di Protezione Avanzata per salvaguardare gli utenti Android con alta visibilità e informazioni sensibili da attacchi online mirati; questo programma richiede una chiave di sicurezza fisica per accedere, rendendo molto più difficile il furto dell'account. All'inizio di quest'anno, WhatsApp, di proprietà di Meta, ha annunciato una funzionalità chiamata Impostazioni Account Rigorose per proteggere gli utenti da attacchi informatici avanzati bloccando automaticamente alcune impostazioni alle opzioni più restrittive, bloccando anche allegati e media da persone non nella lista dei contatti dell'utente.

Per le aziende e i team IT, i servizi di IT, infrastruttura e consulenza security-first di AEU-I possono aiutare a rivedere le pratiche di hardening di dispositivi e reti contro strumenti di sorveglianza mirati come quelli descritti qui. Questa segnalazione si basa sui risultati di Citizen Lab, SHARE Foundation e Amnesty International, non su alcun coinvolgimento di AEU in questi incidenti.