Un totale di 14 studenti, attivisti e politici dell’opposizione sono stati spiati con software illegali per telefoni cellulari dall’inizio dell’anno. La sorveglianza sui telefoni cellulari è stata confermata da un’analisi forense condotta da due laboratori internazionali – il Citizen Lab dell’Università di Toronto e Amnesty International – come annunciato dai rappresentanti del movimento Studenti in blocco durante la loro prima conferenza stampa dall’inizio delle proteste studentesche.
“I loro telefoni sono stati attaccati con uno dei software spia più avanzati al mondo oggi. Questo software viene venduto esclusivamente agli Stati e qualcuno deve esserne ritenuto responsabile”, ha dichiarato Ela Zeković, studentessa della Facoltà di Scienze Politiche.
Questo software legge ogni messaggio, guarda ogni foto e può attivare il microfono e la telecamera del telefono cellulare. Il suo utilizzo costituisce un reato penale ai sensi della legge serba, ha aggiunto. “Sul telefono di una collega è stato trovato lo spyware Pegasus, installato da remoto senza un singolo clic e all’insaputa dell’utente”, ha affermato Zeković.
Il presidente serbo Aleksandar Vučić ha liquidato la dichiarazione del movimento studentesco come “sospetti privi di qualsiasi prova”, sostenendo inoltre di essere stato egli stesso bersaglio di intercettazioni, sia come capo di Stato sia, in precedenza, come “leader dell’opposizione”.
“Ho fatto scenate per questo e perseguito qualcuno alla BIA [Servizio di informazione della sicurezza] in seguito? Mai! Mi hanno agganciato con quattro o cinque ami. Non ho fatto la vittima. Ho incassato da uomo e ho taciuto”, ha detto dopo una visita a Rusko Selo, vicino a Kikinda, il 3 settembre.
L’Agenzia per l’informazione e la sicurezza (BIA) ha definito le accuse relative all’uso di spyware “sensazionalismo di poco conto”. “Il contenuto di queste accuse indica chiaramente le vere intenzioni degli individui e delle organizzazioni che le muovono, ossia lavorare nell’interesse di determinati servizi di intelligence stranieri e gruppi di pressione”, ha dichiarato l’agenzia in un comunicato stampa il 3 settembre.
Tra le 14 persone prese di mira, la maggior parte era composta da membri del movimento studentesco, ha dichiarato Andrijana Ristić, ricercatrice della Fondazione Share che ha partecipato allo svelamento degli attacchi.
Il periodo in cui si sono concentrati gli attacchi coincide in gran parte con la campagna per le elezioni locali tenutesi il 29 marzo 2026. “Si tratta della più vasta ondata di utilizzo di tali spyware mai registrata nel Paese”, ha spiegato Ristić.
L’attacco tramite Pegasus è il primo caso confermato di infezione con questo spyware a livello globale nel 2026, ha aggiunto. “Il costo dell’utilizzo di Pegasus è stimato in milioni di euro.” Il software è prodotto dall’azienda israeliana NSO Group e venduto esclusivamente a governi e istituzioni statali, ha sottolineato Ristić.
NSO Group non ha risposto alla richiesta di commento dell’agenzia Reuters, ma in un rapporto pubblicato a gennaio, la società ha dichiarato che collaborerà con i clienti per affrontare potenziali violazioni. “In casi di violazione grave o reiterata delle norme, NSO può sospendere o interrompere il rapporto”, ha affermato l’azienda, come riportato da Reuters.
Tra le persone colpite, ben 12 si sono rivolte alla Fondazione Share nel mese di agosto di quest’anno dopo aver ricevuto notifiche sui propri telefoni cellulari che le avvertivano di essere probabili bersagli. “Non si trattava di un avviso qualsiasi: la notifica è arrivata direttamente da Apple, il produttore del telefono”, ha detto Ristić.
La conferenza presso lo spazio “Miljenko Dereta” a Belgrado si è tenuta nello stesso giorno in cui diversi media in Serbia hanno riportato che i cittadini andranno alle urne il 25 ottobre.
Le elezioni non sono state ancora formalmente indette, il che rimane una delle richieste chiave del movimento studentesco, insieme all’accertamento delle responsabilità per la tragedia della stazione ferroviaria di Novi Sad, dove 16 persone sono morte a causa del crollo di una pensilina.
‘Come se il tuo telefono fosse nelle loro mani’
Jelena Kontić, membro del movimento studentesco, è stata bersaglio del software Pegasus.
Durante la conferenza stampa, ha sottolineato di non essere mai stata fermata o arrestata, quindi non c’è stata occasione di installare software o dispositivi di tracciamento direttamente sul suo telefono. “Questo porta a una domanda: perché io? Mi chiedevo come fosse possibile che ciò che faccio abbia portato qualcuno a sorvegliarmi e intercettarmi”, ha detto.
Jelena ha evidenziato che non è stato effettuato un accesso illegale solo ai suoi dati, ma anche ai dati e alle informazioni di tutti coloro che la circondano. “Di conseguenza, sono diventati tutti vittime della sorveglianza di qualcuno e di questo sistema. Sembra proprio che il tuo telefono sia nelle loro mani”, ha aggiunto.
Kontić crede che ciò che le è accaduto sia “un tentativo di ricatto e intimidazione”. Ritiene “probabile” di essere stata presa di mira poiché era “molto attiva” nell’iniziativa Uno studente in ogni villaggio, condotta dal movimento da quando ha avanzato la richiesta di elezioni anticipate.
Milica, studentessa dell’Università di Niš, ha scoperto che il suo telefono era stato preso di mira quando ha ricevuto una notifica a metà agosto. “All’inizio pensavo si trattasse di una notifica generica o di una pubblicità. Solo quando ho guardato più da vicino ho capito che c’era scritto che era stato tentato un attacco spyware sul mio telefono e l’ho inoltrata a un collega di Niš che si occupa di informatica. Mettendoci in contatto con i colleghi di Belgrado, abbiamo capito che non ero l’unica a cui era arrivato quell’avviso”, ha raccontato durante la conferenza.
Quando si è recata a Belgrado per far esaminare il proprio telefono, ha compreso la gravità della situazione. “Mi sono resa conto che attraverso quell’attacco avevano accesso a tutta la mia vita – non solo alle riunioni studentesche, ma anche alle conversazioni private, al microfono e alla telecamera. Potevano accendere la telecamera mentre ci facevamo la doccia o parlavamo di cose personali”, ha aggiunto.
Come ha spiegato, gli aggressori non avevano accesso solo ai suoi dati, ma anche a quelli delle “persone che sostengono gli studenti e lottano insieme a loro”. “Questo non è solo un attacco agli studenti; è un attacco a tutti i contatti che ho in rubrica”, ha sottolineato.
Come è stato condotto lo spionaggio?
Lo spyware Pegasus della società israeliana NSO Group è stato installato sul telefono della studentessa tramite il metodo zero-click. In parole semplici: negli attacchi zero-click, il software viene installato da remoto, senza la necessità di fare clic su nulla né di avere un contatto fisico con il dispositivo. Da qui il nome: zero clic.
Lo spyware è rimasto nel telefono fino al successivo aggiornamento del sistema operativo. Si tratta di una versione avanzata di spyware, poiché non richiede che qualcuno vi prenda fisicamente il telefono, come accadeva in precedenza in Serbia a seguito di arresti e interrogatori di polizia.
Le conseguenze sono simili. Lo spyware ha accesso a tutto ciò che si trova sul dispositivo: messaggi, contatti, foto, dati delle applicazioni, ecc., e può registrare segretamente lo schermo o attivare il microfono e la fotocamera.
La società NSO Group aveva precedentemente dichiarato che i suoi prodotti e servizi “sono utilizzati esclusivamente da agenzie di sicurezza governative e forze dell’ordine per combattere la criminalità e il terrorismo”. Nel caso delle altre 11 persone che hanno ricevuto la stessa notifica, sono ancora in corso le verifiche per determinare di quale software spia si tratti. Inoltre, altri due telefoni sono stati infettati da una nuova versione dello spyware NoviSpy.
In un caso, riguardante un membro del movimento studentesco, lo spyware è stato installato quando il ragazzo è stato condotto in centrale di polizia per essere interrogato. Il telefono è stato sbloccato con la forza, ne è stato estratto tutto il contenuto ed è stato installato un software che raccoglieva i dati inviandoli a un server esterno. Lo stesso spyware è stato trovato su un secondo telefono, scoperto dopo che un messaggio privato di Viber proveniente da quel dispositivo è stato letto durante una trasmissione sulla televisione Informer TV.
“Su un dispositivo appartenente a un membro del movimento studentesco abbiamo trovato oltre 1.500 fermi immagine, ovvero screenshot, scattati per monitorare le attività sul telefono”, ha rivelato Andrijana Ristić durante la conferenza stampa. “Dapprima la persona viene condotta nei locali della polizia, dopodiché viene separata fisicamente dal telefono; il dispositivo viene sbloccato illegalmente, tutti i dati vengono copiati e viene installato lo spyware che raccoglie tutti i dati successivi inviandoli a un server di cui abbiamo identificato l’indirizzo IP”, ha aggiunto.
Ha definito tale pratica una “grave violazione del diritto alla privacy, che aumenta la paura tra i cittadini e compromette i diritti correlati, come la libertà di espressione e di manifestazione”.
Precedenti casi di spionaggio in Serbia
Questo non è il primo caso del genere in Serbia, ricordano dalla Fondazione Share.
Alla fine del 2024, un’analisi del Security Lab di Amnesty International sulla sorveglianza illegale di attivisti, giornalisti e ONG in Serbia ha mostrato che “decine, se non centinaia di dispositivi sono stati presi di mira dallo spyware NoviSpy negli ultimi anni”. Oltre alla violazione diretta della privacy, tali pratiche possono scoraggiare le persone dall’impegnarsi in politica, dal parlare pubblicamente o dall’esprimere dissenso.
Nel novembre 2023 sono stati scoperti tentativi di attacco spyware ai telefoni cellulari di due esponenti della società civile, e nel febbraio 2025 due giornaliste del portale BIRN Serbia sono state bersaglio dello spyware Pegasus. Avevano ricevuto messaggi Viber sospetti dallo stesso numero di telefono serbo a loro sconosciuto.
Nel dicembre 2025, Amnesty ha riferito del tracciamento degli studenti durante le proteste attraverso attacchi zero-day e lo strumento forense Cellebrite.
Un exploit zero-day è una vulnerabilità di sicurezza sconosciuta agli sviluppatori, per la quale non esiste una soluzione immediata. Malintenzionati possono sfruttarla e solo allora l’autore ne viene a conoscenza, iniziando da quel “giorno zero” a risolvere il problema.
A seguito delle pressioni degli attivisti e della pubblicazione delle prove, l’azienda ha annunciato che sospenderà l’uso della propria tecnologia in Serbia.
Il movimento studentesco è nato a seguito del crollo della pensilina della stazione ferroviaria di Novi Sad, avvenuto il 1° novembre 2024, in cui hanno perso la vita 16 persone e una donna è rimasta gravemente ferita. Sono seguite imponenti proteste e blocchi guidati dagli studenti. Sono passati quasi due anni dalla tragedia e non è stato ancora avviato alcun procedimento giudiziario. Oltre a richiedere l’accertamento delle responsabilità per l’accaduto, nel maggio 2025 il movimento studentesco ha avanzato la richiesta di indire elezioni parlamentari anticipate.
In attesa dell’indizione delle elezioni più volte preannunciate, anche il partito al governo, il Partito Progressista Serbo (SNS), sta organizzando raduni in tutto il Paese.
Le elezioni potrebbero tenersi il 18 o il 25 ottobre, e la data esatta “si saprà tra pochi giorni”, ha dichiarato il presidente serbo Aleksandar Vučić il 20 agosto.
(BBC Serbia, 03.09.2026)