Pegasus na iPhone’ach działaczy w Serbii: zero-click przez iMessage ponownie alarmuje o zagrożeniu spyware

Wprowadzenie do problemu / definicja

Ataki typu zero-click należą do najbardziej zaawansowanych technik wykorzystywanych w cyberinwigilacji mobilnej. Ich cechą charakterystyczną jest możliwość przejęcia urządzenia bez jakiejkolwiek interakcji ze strony ofiary — bez otwierania wiadomości, klikania odnośnika czy instalowania aplikacji. Najnowszy ujawniony przypadek dotyczy infekcji iPhone’a należącego do członka serbskiego ruchu studenckiego przy użyciu spyware Pegasus, co ponownie zwraca uwagę na skalę zagrożenia związanego z komercyjnymi narzędziami klasy mercenary spyware.

W skrócie

Potwierdzono infekcję iPhone’a z użyciem exploita zero-click wymierzonego w Apple iMessage.
Analiza forensyczna wykazała wskaźniki kompromitacji powiązane z działaniem spyware Pegasus rozwijanego przez NSO Group.
Badacze ocenili, że aktywność obejmowała okres od grudnia 2025 do stycznia 2026.
Według dostępnych ustaleń podatność została załatana przez Apple w iOS 18.4.1.
Incydent wpisuje się w szerszy wzorzec działań wymierzonych w aktywistów, opozycję i uczestników ruchów społecznych w Serbii.

Kontekst / historia

Pegasus od lat pozostaje jednym z najbardziej rozpoznawalnych przykładów zaawansowanego spyware wykorzystywanego do ukierunkowanej inwigilacji. Narzędzie to wielokrotnie łączono z operacjami wymierzonymi w dziennikarzy, aktywistów, polityków oraz osoby publiczne. W praktyce Pegasus korzysta z luk w popularnych komponentach mobilnych, takich jak komunikatory, frameworki przetwarzające treści czy mechanizmy obsługi wiadomości.

Opisany przypadek nie wydaje się incydentem jednostkowym. Z ustaleń organizacji analizujących nadużycia nadzoru cyfrowego wynika, że w 2026 roku w Serbii odnotowano szerszą kampanię ukierunkowaną na osoby związane z aktywizmem społecznym i politycznym. W tle pojawiają się również inne narzędzia nadzoru, w tym spyware dla Androida przypisywane lokalnym operacjom, co może wskazywać na równoległe stosowanie zarówno komercyjnych, jak i niestandardowych platform szpiegowskich.

Analiza techniczna

Kluczowym elementem incydentu jest wektor wejścia: iMessage zero-click exploit. Oznacza to, że atakujący najprawdopodobniej dostarczyli spreparowaną treść do komponentu systemowego odpowiedzialnego za obsługę wiadomości, uruchamiając łańcuch exploitów bez udziału użytkownika. Tego typu operacje zwykle opierają się na błędach pamięci, problemach w parserach multimediów, logice deserializacji lub innych podatnościach w procesach uprzywilejowanych.

Po skutecznej eksploatacji typowym celem jest uzyskanie wykonania kodu, eskalacja uprawnień i wdrożenie modułów nadzorczych umożliwiających eksfiltrację danych oraz zdalne sterowanie urządzeniem. W przypadku Pegasus funkcjonalność może obejmować dostęp do wiadomości, mikrofonu, aparatu, danych lokalizacyjnych, kontaktów oraz artefaktów komunikacyjnych z aplikacji zainstalowanych na urządzeniu.

Wykrywanie takich infekcji pozostaje wyjątkowo trudne. Zaawansowane spyware mobilne działa z minimalnym śladem, wykorzystuje legalne procesy systemowe, ogranicza trwałość na dysku i może usuwać artefakty po wykonaniu zadań. Z perspektywy DFIR wymaga to analizy pełnych kopii logicznych lub systemowych, korelacji logów, identyfikacji anomalii procesów oraz badania wskaźników kompromitacji związanych z komunikacją sieciową i zachowaniem usług systemowych.

Fakt, że luka miała zostać załatana w iOS 18.4.1, pokazuje typowy cykl życia takich zagrożeń: wykorzystanie exploita przed pełnym ujawnieniem technicznym, ograniczoną widoczność operacji oraz późniejsze potwierdzenie przez analizy forensyczne. Dla obrońców oznacza to, że brak widocznych objawów nie może być traktowany jako dowód bezpieczeństwa urządzenia.

Konsekwencje / ryzyko

Skutki kompromitacji iPhone’a przez spyware klasy Pegasus są bardzo poważne. Najważniejszym zagrożeniem jest pełne naruszenie poufności danych i komunikacji. Atakujący mogą uzyskać dostęp do treści rozmów, metadanych, materiałów multimedialnych, lokalizacji oraz planów działań ofiary. W przypadku aktywistów i członków ruchów społecznych ryzyko obejmuje również ich otoczenie — współpracowników, informatorów, organizatorów i uczestników protestów.

Drugim poziomem ryzyka jest możliwość wykorzystania przejętych danych do dalszych działań operacyjnych. Mogą one wspierać represje, szantaż, identyfikację sieci kontaktów, kampanie dezinformacyjne oraz kolejne ataki phishingowe i socjotechniczne. Z perspektywy organizacji obywatelskich i politycznych jest to więc nie tylko incydent techniczny, ale naruszenie bezpieczeństwa całego ekosystemu komunikacyjnego.

Istotny pozostaje także problem asymetrii obrony. Użytkownik końcowy, nawet stosujący dobre praktyki bezpieczeństwa, ma bardzo ograniczone możliwości samodzielnego wykrycia ataku zero-click. Kampanie prowadzone przez podmioty dysponujące znacznymi zasobami finansowymi i dostępem do zaawansowanych exploitów wymagają ochrony warstwowej, szybkiego patchowania oraz wsparcia wyspecjalizowanych zespołów analitycznych.

Rekomendacje

Osoby i organizacje z grup wysokiego ryzyka powinny traktować bezpieczeństwo urządzeń mobilnych jako element ochrony operacyjnej, a nie jedynie podstawowej higieny IT. Priorytetem pozostaje utrzymywanie iOS w najnowszej wersji oraz niezwłoczne wdrażanie poprawek bezpieczeństwa. W środowiskach szczególnie narażonych warto także rozważyć korzystanie z mechanizmów ograniczających powierzchnię ataku, takich jak Lockdown Mode.

Kolejna rekomendacja dotyczy segmentacji komunikacji. Wrażliwe rozmowy nie powinny być prowadzone wyłącznie jednym kanałem ani z jednego urządzenia. Rozdzielenie ról urządzeń, stosowanie odrębnych numerów, ograniczanie zbędnych aplikacji oraz minimalizacja danych przechowywanych lokalnie mogą istotnie zmniejszyć skutki ewentualnej kompromitacji.

Z perspektywy zespołów bezpieczeństwa kluczowe są procedury reagowania na sygnały wskazujące na możliwy atak spyware. Obejmują one zabezpieczenie urządzenia, wykonanie analizy forensycznej, ocenę ekspozycji kontaktów, rotację danych uwierzytelniających oraz aktualizację modelu zagrożeń. W przypadku osób szczególnie narażonych należy zakładać możliwość pełnego przejęcia urządzenia i prowadzić działania naprawcze szerzej niż tylko przez reset czy zmianę haseł.

Ważne pozostaje również monitorowanie ostrzeżeń o zagrożeniach przekazywanych przez dostawców platform. Otrzymanie powiadomienia o możliwym ataku mercenary spyware powinno uruchamiać formalny proces obsługi incydentu, najlepiej przy wsparciu wyspecjalizowanych laboratoriów bezpieczeństwa mobilnego.

Podsumowanie

Potwierdzona infekcja iPhone’a członka serbskiego ruchu studenckiego przez Pegasus pokazuje, że ataki zero-click pozostają realnym i aktywnym zagrożeniem dla osób o podwyższonym profilu ryzyka. Wektor przez iMessage potwierdza, że nawet dojrzałe ekosystemy mobilne mogą być skutecznie atakowane przez zaawansowanych przeciwników. Najważniejsze wnioski są jasne: szybkie aktualizacje, ograniczanie powierzchni ataku, gotowość do analizy forensycznej oraz ochrona operacyjna użytkowników wysokiego ryzyka stanowią dziś podstawę obrony przed nowoczesnym spyware mobilnym.