Pegasus e NoviSpy contro studenti e oppositori. Il caso spyware in Serbia

Almeno quattordici persone appartenenti alla società civile serba sono state prese di mira, dall’inizio del 2026, con software di sorveglianza avanzata. È quella che Share Foundation, organizzazione di Belgrado specializzata in diritti digitali, definisce la più ampia ondata di questo tipo finora documentata nel Paese. La vicenda, raccontata dal Guardian, riguarda membri del movimento studentesco, attivisti, un parlamentare e un consigliere locale dell’opposizione.

A rendere il caso particolarmente significativo è, soprattutto, la natura degli strumenti individuati. Le analisi forensi condotte insieme a Citizen Lab e Amnesty International hanno infatti rilevato l’impiego di diverse tecnologie: da Pegasus, il software sviluppato da NSO Group, a una nuova versione di NoviSpy, il malware per dispositivi Android già emerso nelle precedenti indagini sulla sorveglianza digitale in Serbia.

Un attacco senza clic

Il dato tecnicamente più solido riguarda il telefono di un membro del movimento studentesco serbo. Citizen Lab, centro di ricerca dell’University of Toronto che da anni analizza l’impiego degli spyware commerciali, ha confermato che l’iPhone della persona interessata è stato infettato con Pegasus attraverso un exploit “zero-click” che colpiva iMessage.

In altre parole, alla vittima non era richiesto di aprire un link, scaricare un allegato o compiere altre azioni. Secondo le tracce forensi individuate dai ricercatori, l’infezione risale al periodo compreso tra dicembre 2025 e gennaio 2026. La vulnerabilità utilizzata è stata successivamente corretta da Apple.

Una volta installato, Pegasus permette all’operatore di accedere in profondità al dispositivo: messaggi, fotografie e altri dati conservati sul telefono, comprese comunicazioni protette dalle applicazioni di messaggistica. Può inoltre attivare microfono e fotocamera senza che il proprietario se ne accorga. È precisamente questa capacità di trasformare uno smartphone in uno strumento di raccolta informativa a rendere questi software particolarmente rilevanti anche dal punto di vista dell’intelligence.

Il precedente NoviSpy

Il quadro cambia quando si passa a NoviSpy. Il nome era già comparso nel dicembre 2024 nell’inchiesta “A Digital Prison” di Amnesty International dedicata alla sorveglianza della società civile serba. L’organizzazione aveva documentato l’utilizzo di strumenti forensi Cellebrite per accedere ad alcuni telefoni e installarvi successivamente il malware durante periodi di detenzione o interrogatori di attivisti e giornalisti.

NoviSpy è tecnicamente meno sofisticato di Pegasus, anche perché richiede in alcuni casi l’accesso fisico al dispositivo. Le sue capacità restano però ampie: può raccogliere contatti, messaggi e registri delle chiamate, acquisire schermate, localizzare il telefono e utilizzare microfono e fotocamera. Nelle precedenti analisi erano stati inoltre individuati collegamenti tra l’infrastruttura utilizzata dal malware e indirizzi riconducibili alla Bia, l’agenzia di intelligence serba.

Nel nuovo ciclo di analisi, Share Foundation e Amnesty hanno rilevato su uno smartphone appartenente a un membro del movimento studentesco una versione aggiornata di questo tipo di software. Secondo Share, il dispositivo era stato precedentemente sequestrato quando il proprietario era stato condotto dalla polizia per essere interrogato. I ricercatori sostengono che la nuova variante sia stata modificata anche per rendere più difficile la sua individuazione attraverso gli strumenti di analisi forense.

Il fattore politico

Il momento in cui sono emersi gli attacchi aggiunge inevitabilmente una dimensione politica al caso. Il movimento degli studenti ha assunto negli ultimi due anni un ruolo centrale nelle proteste contro il governo di Vučić, iniziate dopo il crollo della pensilina della stazione ferroviaria di Novi Sad nel novembre 2024, che causò sedici morti.

Secondo Share Foundation, alcuni degli episodi di sorveglianza coincidono temporalmente con le elezioni locali del 29 marzo. L’organizzazione ipotizza che quella fase possa essere stata utilizzata per valutare strumenti e capacità di pressione prima del successivo appuntamento elettorale nazionale. Si tratta, è importante precisarlo, di una valutazione dell’organizzazione e non di una conclusione dimostrata dalle analisi tecniche.

Il contesto resta comunque delicato. Vučić ha annunciato elezioni parlamentari anticipate in ottobre, dopo oltre un anno di mobilitazioni guidate dagli studenti. Il 20 agosto aveva indicato il 18 o il 25 ottobre come possibili date; nelle ultime settimane il 25 ottobre è emerso come l’ipotesi più probabile, anche se il percorso formale per la convocazione del voto era ancora in corso.

Da parte delle istituzioni serbe è arrivata una smentita netta. La presidente del Parlamento Ana Brnabić, esponente di primo piano del Partito progressista serbo, ha negato che gli studenti siano stati spiati e ha contestato pubblicamente le ricostruzioni diffuse dagli attivisti e da Share Foundation.

Il problema oltre Belgrado

La vicenda serba riguarda infine un problema che supera i confini del Paese. Il mercato degli spyware commerciali ha progressivamente ridotto la distanza tra capacità un tempo riservate ai servizi di intelligence più avanzati e strumenti acquistabili da governi e apparati di sicurezza. Il nodo non è soltanto tecnologico. Riguarda le procedure di autorizzazione, la proporzionalità della sorveglianza, il controllo democratico sulle agenzie che la esercitano e la possibilità di attribuire con certezza un’operazione una volta scoperta.

Il caso di Belgrado mostra bene anche questa difficoltà. Su Pegasus esiste una prova forense dell’infezione ma non, almeno per ora, un’attribuzione pubblicamente dimostrata dell’operatore. Su NoviSpy, invece, esiste una sequenza di elementi raccolti negli ultimi due anni che ha già portato Amnesty International e Share Foundation a collegarne l’impiego agli apparati serbi.