Fakty i kontekst
Co wiemy
SHARE Foundation udokumentowała co najmniej 14 osób z serbskiego ruchu studenckiego, organizacji obywatelskich i opozycji, które otrzymały od Apple ostrzeżenia o możliwym ataku mercenary spyware. Citizen Lab przeanalizował telefon jednego studenta i potwierdził infekcję Pegasusem. Amnesty Security Lab zweryfikowało użycie narzędzia NoviSpy w co najmniej dwóch przypadkach.
Wśród celów byli uczestnicy protestów, poseł opozycji i lokalny radny. Czas ataków pokrywał się z okresem przed wyborami lokalnymi w marcu 2026 roku. Zbieżność wzmacnia pytania o motyw polityczny, lecz sama nie identyfikuje operatora systemu ani organu, który miałby wydać polecenie.
Pegasus jest produktem NSO Group przeznaczonym dla klientów rządowych. Może infekować urządzenie bez kliknięcia i uzyskać dostęp do wiadomości, mikrofonu oraz innych danych. NoviSpy to narzędzie wcześniej łączone przez Amnesty z serbskimi służbami. Różne platformy i ścieżki infekcji oznaczają, że przypadki nie muszą tworzyć jednej technicznej kampanii.
Serbski rząd odrzuca zarzuty nielegalnego szpiegowania. To stanowisko zainteresowanej strony. Wydanie opiera twierdzenie o infekcjach na badaniach kryminalistycznych, ale nie przedstawia każdego ostrzeżenia Apple jako dowodu skutecznego włamania ani nie przypisuje wszystkich ataków władzom bez osobnych śladów.
Nasza analiza
Mechanizm i skutki
Mercenary spyware działa asymetrycznie. Operator wybiera niewielką liczbę osób o dużym znaczeniu politycznym, a po przejęciu telefonu uzyskuje dostęp nie tylko do jednej ofiary, lecz także do sieci jej kontaktów, planów protestu i rozmów z dziennikarzami. Skutek zastraszenia może objąć znacznie szersze środowisko.
Powiadomienie Apple jest sygnałem wysokiego ryzyka, ale nie pełnym raportem. Dopiero obraz urządzenia, logi i ślady procesu pozwalają potwierdzić infekcję. Citizen Lab i Amnesty stosują niezależne metody badawcze, co zwiększa wiarygodność ustaleń. Jednocześnie producenci ograniczają szczegóły, aby nie ułatwiać omijania detekcji.
Odpowiedzialność ma kilka warstw: producent sprzedaje system, klient wybiera cel, operator uruchamia infrastrukturę, a luki w telefonie umożliwiają infekcję. Regulacja samego eksportu nie wystarczy, jeżeli państwa nie badają nadużyć i nie dopuszczają dowodów cyfrowych do niezależnego postępowania.
Dla Serbii sprawa łączy się z jakością wyborów i negocjacjami europejskimi. Opozycja musi móc organizować kampanię bez tajnego dostępu do komunikacji. Unia Europejska może wykorzystywać warunki akcesyjne, sankcje eksportowe i mechanizmy ochrony danych, ale ich skuteczność zależy od współpracy krajowych instytucji.
Granice wniosku
Co może zmienić ocenę
Publicznie potwierdzono pełną infekcję tylko części urządzeń. Czternaście ostrzeżeń nie oznacza czternastu skutecznych przejęć. Niektóre próby mogły zostać zablokowane, a inne telefony nie były dostępne do analizy. Wydanie rozdziela liczbę osób ostrzeżonych od liczby kryminalistycznie potwierdzonych przypadków.
Nie znamy operatora Pegasusa ani pełnego łańcucha poleceń. Fakt, że produkt jest sprzedawany państwom, zawęża krąg możliwości, lecz nie identyfikuje konkretnej agencji. W przypadku NoviSpy wcześniejsze badania dają ważny kontekst, ale każdy nowy incydent wymaga własnych dowodów.
Ataki miały miejsce wcześniej w 2026 roku, a zostały ujawnione po sierpniowych alertach Apple. Nowością jest dokumentacja i możliwość reakcji, niekoniecznie rozpoczęcie kampanii 3 września. Ta różnica ma znaczenie przy ocenie bieżącego zagrożenia.
Ocenę zmienią kolejne analizy urządzeń, publikacja wskaźników technicznych i niezależne śledztwo. Jeżeli ślady połączą przypadki z jednym operatorem, będzie można mówić o skoordynowanej kampanii. Na dziś potwierdzona jest największa udokumentowana fala celowania w serbskie społeczeństwo obywatelskie, ale pełna atrybucja pozostaje otwarta. Nie wiadomo również, czy ujawniona grupa obejmuje wszystkie cele, ponieważ alerty zależą od wykrycia konkretnego łańcucha ataku i możliwości skontaktowania się z właścicielem urządzenia.