Citizen Lab ha confirmado esta semana las infecciones zero-click con Pegasus en iPhones de activistas del movimiento estudiantil serbio. El dato, cerrado en colaboración con la fundación SHARE, sitúa el vector en un exploit de iMessage que no exigió ninguna acción por parte de la víctima. Basta con recibir un mensaje.
El vector que no necesitó un clic
El informe de Citizen Lab, publicado en colaboración con la fundación SHARE, recoge el análisis forense del iPhone de un miembro del movimiento estudiantil. La infección se produjo sin ningún clic, sin abrir enlaces ni archivos. Los artefactos confirmaron el compromiso con indicadores de alta confianza entre diciembre de 2025 y enero de 2026. Según el informe de Citizen Lab, el exploit se alojó en iMessage y fue parcheado por Apple en iOS 18.4.1.
La capacidad de Pegasus, el spyware comercial de NSO Group, es total: mensajes, fotos, notas, micrófono y cámara. Pegasus puede hacer cualquier cosa que el usuario puede hacer, pero sin que el usuario lo note. La variante usada en Serbia atacó iMessage; el parche llegó con iOS 18.4.1.
El ataque confirmado en Serbia explota una vulnerabilidad de día cero en el cliente de mensajes de Apple. El exploit no pide permiso, no muestra ninguna notificación y transforma el dispositivo en una terminal de espionaje corporal. De hecho, el propio informe de Citizen Lab subraya que la víctima no vio nada en pantalla. El atacante obtuvo acceso total al contenido cifrado, a las notas, a las fotos y a los mensajes.
No es un caso aislado. Al menos 14 personas fueron objetivo de spyware avanzado desde principios de 2026, según la fundación SHARE. Entre los perfiles hay estudiantes, activistas de la sociedad civil, un diputado de la oposición y un concejal local. La organización lo considera la mayor oleada de vigilancia documentada en la historia de Serbia.
De los 12 ciudadanos que acudieron al equipo forense en agosto tras recibir la alerta de Apple, once dispositivos siguen bajo sospecha de infección. Los avisos de Apple se activan cuando la compañía detecta que un usuario probablemente está siendo objetivo de spyware patrocinado por un Estado. La mayoría de estos avisos llegó después de meses de exposición.
El espionaje con Pegasus no deja rastro visible: convierte el teléfono en un micrófono y una cámara al servicio del Estado.
El historial de Belgrado con NoviSpy y Pegasus
SHARE Foundation lleva años documentando el uso de herramientas de vigilancia comercial en Serbia. El patrón es conocido: Pegasus en los iPhone y NoviSpy en los Android, con una versión local desarrollada a medida. Las detenciones se convierten en la vía para instalar malware en los teléfonos incautados. No es un episodio aislado; es una cadena de custodia inversa.
La conexión entre la custodia policial y la instalación de spyware es una de las conclusiones más graves del informe de SHARE Foundation. El dispositivo de una activista estudiante apareció infectado después de ser incautado durante un interrogatorio. Donncha Ó Cearbhaill, responsable del Security Lab de Amnistía Internacional, lo resumió así: ‘las pruebas demuestran que los estudiantes serbios siguen siendo objetivo de herramientas invasivas instaladas bajo custodia.
Para quien reciba una notificación de amenazas de Apple, la guía es clara: asumir la infección y acudir a expertos. En Serbia, el contacto es la fundación SHARE; fuera, Access Now. Apple recomienda activar el modo Lockdown, que reduce drásticamente la superficie que un exploit zero-click puede alcanzar. La actualización a la última versión de iOS es imprescindible.
Dossier Moncloa: Ojos en la Sombra
El vector es un clásico de la ciberguerra comercial: un exploit de día cero en iMessage, una cadena de infección sin interacción y un despliegue de spyware con persistencia completa. La atribución técnica apunta a NSO Group; la responsabilidad operativa, a los servicios de seguridad serbios que llevan años empleando herramientas contra activistas. No es una conclusión nueva: en 2021, Citizen Lab documentó injerencias de Pegasus en el entorno de la sociedad civil serbia.
La operación combina dos familias de malware: Pegasus en iOS y NoviSpy en Android. El primero llega por la red; el segundo, según los forenses, se instala tras la incautación física del teléfono. Es un patrón doble: vigilancia remota para los teléfonos que no pueden tocar y acceso directo para los que caen en custodia policial. O, dicho en términos del oficio, SIGINT en remoto y acceso HUMINT a los dispositivos.
El nivel de implicación español es indirecto, pero no irrelevante. El CNI y el CCN-CERT monitorizan desde hace años el uso de spyware comercial en Europa. No hay constancia de que Pegasus se haya usado contra objetivos en España en esta campaña, pero el método ya apareció en el caso de políticos españoles y británicos en 2022, con infecciones registradas en ambos lados del canal. El episodio serbio sirve como recordatorio de que los mercados de vigilancia no respetan fronteras.
El caso recuerda, en lo técnico, al uso de Pegasus contra periodistas mexicanos o activistas palestinos. Citizen Lab y Access Now han documentado decenas de casos semejantes. La diferencia aquí es la sincronización electoral tan explícita.
Lo veo así: el espionaje con spyware comercial se ha convertido en la forma más barata de comprar silencio. Ya advertí en El quinto elemento que ‘el próximo 11S empezará con un clic’. En Serbia, ese clic no hizo falta. No exige agentes en el terreno ni operaciones de bandera falsa; exige un presupuesto y un proveedor. La lógica de fondo no es defender la seguridad nacional; es neutralizar voces incómodas antes de que la ciudadanía vote.
Reconozco el margen de error. La atribución de un ataque de Pegasus no identifica automáticamente al cliente final: NSO Group vende a gobiernos, no a movimientos cívicos. Los artefactos forenses confirman el spyware, no la orden política. La sincronización con el calendario serbio es un indicio sólido, pero no una sentencia.
El próximo hito será el informe ampliado que la fundación SHARE sigue consolidando con once dispositivos pendientes de análisis. Si se confirman, estaríamos ante la mayor documentación de un programa estatal de vigilancia en los Balcanes desde la década de 1990. Las elecciones de octubre se encargarán del veredicto político.
