El spyware en Serbia alcanza ya al rector de la Universidad de Belgrado y a un fiscal anticorrupción. Ambos fueron infectados semanas antes de las legislativas del 25 de octubre, según el análisis forense hecho público este lunes.
La Fundación SHARE, el grupo serbio de derechos digitales que hizo el primer volcado del dispositivo, y el Citizen Lab de la Universidad de Toronto firman el hallazgo. El texto del laboratorio canadiense no deja margen: ‘encontramos con alta confianza que estaba infectado con el spyware Pegasus de NSO Group en 2026′. Y añade el dato que en el oficio lo cambia todo: la infección se produjo mediante un exploit de cero clics, sin que la víctima pulsara nada ni abriera ningún archivo.
Vladan Ðokić no es un objetivo cualquiera. Arquitecto, exdecano de la Facultad de Arquitectura y rector desde 2021, se convirtió en la cara institucional del movimiento estudiantil que siguió al derrumbe de la marquesina de la estación de Novi Sad en 2024. El poder lo señaló sin disimulo: el pasado mes de marzo, la policía entró en sus oficinas y se llevó ordenadores y servidores. Él lo describió como un intento de humillar a la universidad, con agentes dentro sin aviso previo ni base legal clara.
El caso de Rade Bajić tiene otro aroma. Este abogado de la Fiscalía para el Crimen Organizado forma parte del equipo que sostiene la acusación en un expediente de corrupción de 500 millones de dólares: un complejo hotelero y residencial proyectado sobre un enclave histórico protegido de Belgrado. Según publicó The Guardian, Vučić presionó a cargos públicos para retirar la protección del edificio y facilitar la operación de Affinity Partners, la firma de Jared Kushner, que quería convertirlo en un hotel de Trump. El propio presidente lo llamó ‘criminal’ en televisión y lo situó en una ‘banda que fabricó’ el caso.
Nadie ha puesto todavía nombre al cliente que paga la licencia.
Y ahí está el nudo. Ni SHARE ni el Citizen Lab atribuyen el ataque a un servicio concreto; en este oficio, la atribución sin prueba técnica es propaganda. Lo que sí consta es la secuencia: en septiembre, los mismos investigadores documentaron la mayor oleada de vigilancia con spyware registrada en Serbia, con 14 personas afectadas —entre ellas un diputado y un cargo municipal— y el estreno de una versión nueva de NoviSpy, el programa para Android que Amnistía Internacional vinculó en 2024 a periodistas, activistas, y miembros de la sociedad civil. El de Ðokić es el segundo caso confirmado de Pegasus en el país este año.
El espionaje político no necesita detenciones: le basta con que el disidente sepa que alguien lee sus mensajes antes de que los escriba.
Anatomía del rastro: cero clics y una década de herramientas de represión
El zero-click es la joya de la corona del sector. No hay enlace que pulsar, ni archivo que abrir, ni permiso que conceder: el teléfono se infecta mientras su dueño mira hacia otro lado. El Citizen Lab no detalla la cadena de explotación empleada en Belgrado —y conviene subrayarlo, porque el matiz separa el periodismo del folletín—, pero las familias de ataques documentadas en los últimos cinco años dan la medida: contra iMessage (FORCEDENTRY, 2021), contra el motor de imagen de Apple (BLASTPASS, 2023) y contra el kernel de iOS (Triangulation, 2023).
En el dispositivo de Bajić hay una pista y un límite. Recibió una notificación de amenaza de Apple, el protocolo con el que la compañía avisa desde 2021 a objetivos de spyware mercenario. Pero SHARE y el Citizen Lab no han podido determinar la familia exacta del programa y el análisis sigue abierto. Una alerta de Apple no es una prueba: es un indicador. Y en este negocio, un indicador sin volcado forense vale poco.
La atribución se hace con código, no con titulares.
Verá usted que el patrón se repite en los Balcanes. Andrijana Ristić, investigadora de SHARE, sitúa la vigilancia serbia en una tradición larga: FinFisher, la firma alemana cuyo software acabó documentado en media docena de países; los tratos con Hacking Team, el proveedor italiano cuyos correos internos se filtraron en 2015; y NoviSpy, la herramienta androide que Amnistía destapó en 2024. ‘Diría sin duda que está extendido’, sostiene Ristić. ‘Ahora recibe mucha más atención mediática, sobre todo internacional, por el momento político’.
John Scott-Railton, investigador sénior del Citizen Lab, tampoco se anda con paños calientes: ‘NSO ha pasado una década diciendo que pasa página cada vez que sale un abuso. Pero no hay forma de esconder la verdad: Pegasus es una tecnología de represión. La respuesta de la compañía israelí es conocida: solo vende a gobiernos, exige autorización judicial al comprador y niega responsabilidad por el uso posterior. Llevo años escuchando ese argumento y sigo sin encontrarle la vuelta: un sistema que solo se vende a Estados acaba, por definición, en manos de Estados.
Dossier Moncloa: Ojos en la Sombra
El vector es un ciberataque de grado militar, selectivo y quirúrgico: spyware comercial con explotación de cero clics y persistencia silenciosa, no sabotaje de infraestructura crítica ni ransomware de impacto masivo. Quien ataca no ha sido identificado públicamente. Los investigadores no han nombrado al comprador de la licencia; el historial de NoviSpy y la coincidencia de objetivos sitúan la sospecha sobre estructuras del Estado serbio, pero ninguna atribución estatal ha sido confirmada por fuentes independientes. Quien defiende es la sociedad civil: SHARE, el Citizen Lab y Apple. Quien mira, Bruselas. Lo veo así: la coincidencia de objetivos vale más que cualquier comunicado.
Sobre el nivel de clasificación, mi estimación es la siguiente. El volcado forense de los dispositivos se movería en ‘Confidencial‘; la cadena de explotación empleada y la identidad del cliente que compró la licencia estarían en ‘Top Secret. Nadie firma un ataque de este tipo con membrete.
El precedente español es el más incómodo. En 2022, el Citizen Lab documentó el CatalanGate: 65 objetivos del entorno independentista catalán infectados con Pegasus y Candiru. La entonces directora del CNI compareció ante la comisión de secretos oficiales del Congreso y salió del cargo semanas después. España aprendió entonces una lección que Serbia repite ahora: el escándalo estalla cuando el calendario electoral aprieta.
En Madrid, el asunto se sigue con distancia y con interés. El CCN-CERT viene publicando notas técnicas e indicadores de compromiso asociados a herramientas comerciales de vigilancia para las administraciones, y la frontera entre víctima y observador en los Balcanes es más fina de lo que parece: España no reconoce la independencia de Kosovo, lo que le da un canal directo con Belgrado que Bruselas no tiene. Si usted cree que un fiscal serbio hackeado no le afecta, piense en quién compra las mismas licencias.
Reconozco la parte incómoda del análisis. Sin peritaje judicial y sin sentencia, todo esto es un expediente abierto con fecha de caducidad informativa, y el riesgo real es doble: que la oposición serbia use el informe como arma arrojadiza y que Bruselas lo archive por falta de prueba formal. No se equivoque conmigo: la atribución en ciberespionaje se construye durante años, no en una rueda de prensa.
El calendario manda. El 25 de octubre Serbia vota y Vučić se juega el control del Gobierno en medio del mayor desafío a su poder en años. El expediente de Bajić sigue abierto, la Fundación SHARE publicará nuevas actualizaciones forenses y cualquier ampliación del informe del Citizen Lab será la próxima pieza del rompecabezas. Lo escribí en El quinto elemento y lo mantengo: el próximo 11S empezará con un clic. La diferencia es que este clic nadie lo verá.
