Pegasus na iPhonie rektora Uniwersytetu w Belgradzie: potwierdzona infekcja przed wyborami w Serbii

Wprowadzenie do problemu / definicja

Pegasus to zaawansowane oprogramowanie szpiegujące zaliczane do kategorii mercenary spyware, projektowane z myślą o skrytym przejmowaniu kontroli nad urządzeniami mobilnymi. Po skutecznej kompromitacji może zapewniać operatorowi dostęp do wiadomości, danych aplikacji, kontaktów, lokalizacji, a także umożliwiać aktywację mikrofonu i kamery bez wiedzy właściciela telefonu.

Najświeższy przypadek dotyczący iPhone’a rektora Uniwersytetu w Belgradzie pokazuje, że smartfony osób publicznych, akademików i uczestników życia społecznego pozostają atrakcyjnym celem zaawansowanych operacji nadzorczych. Skala zagrożenia jest tym większa, że w analizowanym incydencie mowa o ataku typu zero-click.

W skrócie

Potwierdzono infekcję iPhone’a należącego do Vladana Đokicia, rektora Uniwersytetu w Belgradzie oraz publicznego zwolennika protestów studenckich w Serbii. Ustalenia wskazują na użycie Pegasusa z wykorzystaniem mechanizmu zero-click, czyli ataku niewymagającego żadnej interakcji ofiary.

Informacje o incydencie pojawiły się na kilka dni przed przyspieszonymi wyborami parlamentarnymi w Serbii, zaplanowanymi na 25 października 2026 roku. Równolegle opisywany jest także drugi przypadek możliwego ukierunkowania na osobę związaną z postępowaniami dotyczącymi korupcji i przestępczości zorganizowanej.

Kontekst / historia

Sprawa wpisuje się w napięty kontekst polityczny i społeczny. W okresie poprzedzającym wybory parlamentarne osoby zaangażowane publicznie, wspierające protesty lub mające dostęp do wrażliwych informacji, mogą być szczególnie narażone na działania rozpoznawcze i operacje nadzorcze.

Według dostępnych ustaleń rektor Uniwersytetu w Belgradzie był postrzegany jako ważna postać wspierająca środowisko protestów studenckich. To podnosi wagę incydentu i sugeruje, że celem mogło być nie tylko pozyskanie danych osobistych, lecz również uzyskanie wglądu w sieć kontaktów, komunikację organizacyjną oraz działania środowisk obywatelskich.

Nie jest to przy tym odosobniony przypadek. Wcześniejsze doniesienia dotyczące Serbii opisywały już działania wymierzone w aktywistów, polityków opozycji i inne osoby publiczne. Obecny incydent rozszerza obraz długofalowego wykorzystania komercyjnego spyware wobec osób mających znaczenie społeczne, polityczne lub śledcze.

Analiza techniczna

Najistotniejszym elementem technicznym tego przypadku jest charakter ataku zero-click. W praktyce oznacza to, że ofiara nie musi otwierać linku, pobierać pliku ani wykonywać jakiejkolwiek czynności, aby doszło do kompromitacji urządzenia. Tego typu operacje zwykle wykorzystują podatności w komponentach systemowych lub usługach obsługujących dane przychodzące.

W analizowanym przypadku wskazano wysoki poziom pewności co do samej infekcji, jednak bez publicznego ujawnienia konkretnej podatności użytej do włamania. Taki brak szczegółów utrudnia ocenę, czy wykorzystany łańcuch exploitów został już załatany, czy też nadal pozostaje użyteczny dla operatorów podobnych platform spyware.

Z technicznego punktu widzenia Pegasus należy do najbardziej niebezpiecznych rodzin narzędzi szpiegowskich klasy premium. Po wdrożeniu na urządzeniu może umożliwiać:

dostęp do treści wiadomości, również z komunikatorów szyfrowanych end-to-end,
pozyskiwanie danych lokalizacyjnych i historii aktywności,
ekstrakcję kontaktów, zdjęć, dokumentów i danych aplikacyjnych,
nasłuch otoczenia poprzez aktywację mikrofonu,
pozyskiwanie obrazu z kamery,
długotrwałe monitorowanie ofiary przy minimalnych śladach operacyjnych.

Warto zwrócić uwagę również na drugi opisywany wątek, dotyczący osoby powiązanej z prokuraturą ds. przestępczości zorganizowanej, która otrzymała od Apple powiadomienia o zagrożeniu. Tego rodzaju alerty nie stanowią jeszcze pełnego dowodu infekcji, ale są istotnym sygnałem, że urządzenie mogło stać się celem zaawansowanego ataku z użyciem narzędzi klasy mercenary spyware.

Konsekwencje / ryzyko

Ryzyko związane z infekcją Pegasusem jest bardzo wysokie zarówno na poziomie indywidualnym, jak i organizacyjnym. W przypadku rektora dużej uczelni możliwa kompromitacja może obejmować nie tylko dane prywatne, ale także poufną komunikację instytucjonalną i informacje o charakterze społecznym lub politycznym.

Potencjalny zakres szkód może obejmować:

ujawnienie poufnej komunikacji z administracją uczelni,
identyfikację kontaktów z aktywistami, mediami i partnerami społecznymi,
pozyskanie informacji organizacyjnych związanych z wydarzeniami publicznymi,
dostęp do danych pracowników i studentów,
zdobycie materiałów mogących posłużyć do szantażu, presji lub działań dezinformacyjnych.

Szczególnie istotny pozostaje moment czasowy incydentu. Atak przeprowadzony lub ujawniony bezpośrednio przed wyborami może służyć mapowaniu relacji, identyfikacji źródeł informacji, monitorowaniu działań środowisk obywatelskich oraz wywoływaniu efektu mrożącego. Nawet bez publicznie potwierdzonej eksfiltracji danych sama obecność spyware na urządzeniu osoby publicznej stanowi poważny incydent bezpieczeństwa.

Dodatkowym zagrożeniem jest możliwość wtórnej kompromitacji innych osób. Analiza kontaktów, kalendarzy, współdzielonych plików i historii komunikacji może prowadzić do wytypowania kolejnych celów, w tym współpracowników, członków rodziny, prawników, dziennikarzy czy partnerów organizacyjnych.

Rekomendacje

W przypadku podejrzenia ukierunkowanego ataku na urządzenie mobilne należy wdrożyć procedury właściwe dla incydentów wysokiego ryzyka. Kluczowe działania obejmują:

natychmiastowe ograniczenie użycia urządzenia do komunikacji wrażliwej i jego zabezpieczenie do analizy,
przeprowadzenie specjalistycznej analizy forensic przez zespół mający doświadczenie w badaniu spyware na iOS,
włączenie trybu Lockdown Mode w celu ograniczenia powierzchni ataku,
aktualizację systemu iOS oraz wszystkich aplikacji do najnowszych wersji,
weryfikację urządzeń współpracowników i innych osób regularnie kontaktujących się z ofiarą,
rotację haseł, tokenów i sesji logowania oraz ocenę skutków kompromitacji kont,
uruchomienie ścieżki prawnej, organizacyjnej i komunikacyjnej dla obsługi incydentu,
budowę programu ochrony użytkowników wysokiego ryzyka, zwłaszcza w instytucjach publicznych, akademickich i obywatelskich.

Warto podkreślić, że klasyczne mobilne rozwiązania ochronne często nie zapewniają wystarczającej widoczności w przypadku narzędzi tej klasy. W praktyce skuteczne wykrycie i potwierdzenie infekcji wymaga wyspecjalizowanego zaplecza analitycznego oraz odpowiednio zabezpieczonego procesu reagowania.

Podsumowanie

Potwierdzona infekcja Pegasusem na iPhonie rektora Uniwersytetu w Belgradzie to kolejny sygnał, że komercyjne platformy spyware pozostają realnym zagrożeniem dla osób publicznych i przedstawicieli społeczeństwa obywatelskiego. Zastosowanie ataku zero-click znacząco podnosi poziom ryzyka, ponieważ eliminuje potrzebę jakiejkolwiek interakcji ze strony ofiary.

Z perspektywy cyberbezpieczeństwa incydent podkreśla, że ochrona urządzeń mobilnych osób wysokiego ryzyka nie może ograniczać się wyłącznie do aktualizacji systemu. Konieczne są także dojrzałe procedury wykrywania, reagowania, analizy śledczej i zarządzania skutkami potencjalnej kompromitacji.