Pegasus Serbia, otra vez: el iPhone del rector de la Universidad de Belgrado cayó con un zero-click.
Citizen Lab, en colaboración con la Fundación SHARE, ha confirmado ‘con alta confianza’ que el teléfono de Vladan Đokić fue infectado con el spyware de NSO Group en algún momento de 2026. El equipo forense analizó los artefactos extraídos del terminal a petición del propio rector y con su consentimiento expreso. La nota de investigación se hizo pública seis días antes de las elecciones parlamentarias anticipadas del 25 de octubre. Ni un toque, ni un archivo abierto, ni un enlace pulsado: Đokić no hizo nada para activar la infección.
El exploit zero-click: así se infecta un teléfono que nadie ha tocado
Un zero-click es la modalidad más limpia del oficio y, a la vez, la más difícil de detectar. El operador no necesita que la víctima haga nada: le basta con enviar una carga útil que aproveche una vulnerabilidad del sistema de mensajería o del procesado de imágenes para ejecutar código sin dejar huella visible. La víctima no ve nada, no sospecha nada y sigue usando el teléfono durante meses. La infección se descubre después, cuando un laboratorio independiente revisa los artefactos forenses y encuentra lo que el usuario nunca habría encontrado por su cuenta.
Dentro del teléfono, Pegasus no es un programa de espionaje más. El operador obtiene el mismo acceso que el dueño del aparato: lee los mensajes cifrados tal y como se escriben en pantalla, activa el micrófono, enciende la cámara y extrae el historial de localizaciones sin que se ilumine un solo indicador. Apple avisa de este tipo de intrusiones mediante las Threat Notifications; el Lockdown Mode de iOS reduce la superficie de ataque, pero no la elimina. Si usted ha recibido una de esas notificaciones, haga lo que hacemos los profesionales: trate el aparato como comprometido hasta que un técnico independiente demuestre lo contrario.
¿Quién es Đokić? El rector de la Universidad de Belgrado se convirtió en referencia del movimiento estudiantil prodemocrático después de negarse a facilitar la represión policial contra los manifestantes. El 31 de marzo, las autoridades serbias registraron sus oficinas y se llevaron ordenadores y servidores. El rectorado fue tratado como escenario del crimen antes que como institución académica. Desde entonces, su nombre circula en los medios afines al Gobierno con una insistencia que no es periodística, sino operativa.
Hasta septiembre, Đokić figuraba públicamente como posible candidato a encabezar la Lista Estudiantil. Dejó de figurar cuando el acoso mediático se hizo incompatible con cualquier campaña. Serbia vota el 25 de octubre y el informe que acredita la infección se publicó en la última semana de campaña, cuando el electorado todavía estaba decidiendo. Le adelanto que esa coincidencia no es un descuido de calendario.
El spyware no gana elecciones: se limita a asegurarse de que el adversario llegue a las urnas sin saber con quién está hablando.
El rastro serbio: dieciséis nombres y un servicio que llama a esto sensacionalismo
El caso de Đokić no está solo. Con esta confirmación, Citizen Lab eleva a dieciséis el número de miembros de la sociedad civil serbia que constan como objetivo o infectados con spyware comercial en lo que va de 2026. En septiembre, la Fundación SHARE, con el respaldo de Citizen Lab y Amnistía Internacional, documentó una oleada anterior que incluía a un manifestante estudiantil con infección confirmada de Pegasus, a miembros de partidos de oposición y a cargos locales. Aquellos casos se concentraron en en el periodo previo a las municipales de marzo.
Hay un segundo nombre que conviene seguir. Rade Bajić, fiscal sénior que investigaba la corrupción del proyecto Generalštab —la retirada de la protección patrimonial de un solar de Belgrado para abrir paso a una promoción de lujo vinculada a una empresa asociada a Jared Kushner, yerno del presidente estadounidense—, recibió una notificación de amenaza de Apple el 13 de agosto, con recordatorio el 27. Bajić afirma que fue apartado de la investigación en noviembre de 2025 sin explicación y habló en una protesta estudiantil en febrero denunciando injerencias políticas. El análisis forense de su dispositivo sigue en curso: Citizen Lab lo trata como indicador de alta confianza, no como infección confirmada.
El servicio de seguridad serbio despachó la oleada de septiembre como ‘sensacionalismo trivial’ y aseguró que opera dentro de la legalidad del país. La respuesta tiene el tono de quien no necesita discutir el fondo. He seguido este producto desde que el Proyecto Pegasus puso nombre a sus clientes en 2021, y el patrón se repite: primero la duda, después el laboratorio, al final el silencio administrativo. Citizen Lab, por su parte, no ha identificado al operador que explotó el teléfono de Đokić: certifica la herramienta, no la mano que la empuña.
La atribución de un ataque de spyware comercial exige algo más que la coincidencia de calendario electoral.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza. Infiltración HUMINT asistida por ciberataque: un zero-click sobre iOS ejecutado por un operador estatal con licencia de NSO Group, cuyo objetivo era la inteligencia política —contactos, mensajes cifrados, ubicaciones— de un actor clave del movimiento estudiantil serbio. No hay filtración, no hay deserción, no hay topo. Hay un teléfono comprometido que funciona como un confidente permanente en el bolsillo de su dueño.
Quién ataca, quién defiende y quién mira. Ataca un cliente estatal de Pegasus que Citizen Lab no nombra, aunque el contexto —elecciones, represión de protestas, medios afines— apunta al aparato de seguridad del país. Defienden el rector, la Fundación SHARE y el propio laboratorio canadiense; Apple, en la distancia, con sus notificaciones y su modo de bloqueo. Y miran la Comisión Europea, que tiene a Serbia como candidata y condiciona desembolsos al Estado de derecho; los servicios europeos, interesados en saber qué operador regional compra este producto; y España, donde el CNI y el CCN-CERT incorporan desde hace años indicadores de spyware mercenario a sus protocolos de detección. El contexto técnico del producto puede consultarse en la entrada de Pegasus en Wikipedia y los protocolos de alerta, en la web del CCN-CERT.
Estimo el nivel de clasificación en Reservado. A juzgar por la naturaleza del material —comunicaciones cifradas, ubicaciones y audio ambiente de un rector universitario en plena campaña—, el expediente del operador no estaría en la categoría más alta, pero tampoco es material que se comparta con un socio extranjero sin contrapartidas. No es una atribución oficial; es una estimación de oficio.
El precedente que más debería preocuparnos no está en los Balcanes. En 2022, Citizen Lab documentó más de sesenta móviles infectados entre personas vinculadas al independentismo catalán, un episodio conocido como Catalangate que llevó el asunto al Congreso y a los tribunales. La lección es siempre la misma: el producto se compra para espiar a quien no se puede espiar con una orden judicial. Lo escribí hace años en El quinto elemento: el próximo 11S empezará con un clic. Añado hoy una variante incómoda: la próxima crisis institucional europea también.
Mi punto débil en este análisis es el de siempre: la atribución.
Quien quiera convertir esta noticia en una condena contra Belgrado tendrá que aportar más que un calendario electoral, por elocuente que resulte. Y quien prefiera enterrarla tendrá que explicar por qué dieciséis personas de la sociedad civil serbia acumulan indicadores de spyware comercial en nueve meses. Un patrón no es una prueba, pero tampoco es una casualidad.
Mientras el laboratorio mantiene abierta la investigación sobre el fiscal Bajić y la Fundación SHARE sostiene la línea de atención a los afectados, el calendario manda. El 25 de octubre Serbia vota y, en la semana siguiente, se sabrá si el nuevo Parlamento acepta una investigación independiente o si archiva el asunto en la carpeta del sensacionalismo. Usted puede pensar del rector Đokić lo que quiera. El teléfono, en cambio, no opina: solo registra.
