Citizen Lab с высокой степенью уверенности подтвердила заражение iPhone ректора Белградского университета Владана Джокича шпионским ПО Pegasus. Исследователи не раскрыли дату компрометации в 2026 году, не установили организаторов атаки и продолжают расследование.
Об инциденте организация сообщила 19 октября, за шесть дней до внеочередных парламентских выборов в Сербии, назначенных на 25 октября. По данным Citizen Lab, против устройства применили zero-click-эксплойт: владельцу iPhone не требовалось переходить по ссылке или открывать файл.
Контекст расследования
Джокич — ректор Белградского университета и заметный сторонник сербского студенческого протестного движения. Внеочередные выборы назначили в сентябре после почти двух лет протестов, начавшихся в ноябре 2024 года после обрушения навеса на железнодорожном вокзале в Нови-Саде. Тогда погибли 16 человек.
Криминалистические данные с iPhone Джокича Citizen Lab, работающая при Университете Торонто, изучила по его запросу совместно с сербской организацией цифровых прав SHARE Foundation. SHARE ранее расследовала серию сербских инцидентов, о которых стало известно в сентябре.
В опубликованных выводах не сказано, какие данные могли быть извлечены с телефона ректора, если извлечение вообще происходило. В анализе сентябрьского дела Citizen Lab указывала, что Pegasus даёт оператору доступ, сопоставимый с доступом владельца устройства: в том числе к личной и зашифрованной переписке, а также позволяет незаметно включать микрофон и камеру.
Белградский университет опубликовал англоязычное заявление Джокича. Ректор назвал обнаруженное на телефоне ПО «ещё одной попыткой запугивания» и потребовал независимого расследования, публикации его результатов и привлечения к ответственности лиц, установивших и использовавших шпионское ПО. Он также сообщил, что 31 марта полиция провела рейд в кабинетах ректората и изъяла компьютеры и серверы.
Уведомления Apple у помощника прокурора
Citizen Lab сообщила и о втором случае, однако заражение в нём пока не подтверждено. Старший помощник прокурора в Прокуратуре Сербии по борьбе с организованной преступностью Раде Баич получил уведомление Apple об угрозе 13 августа и повторное уведомление 27 августа.
Баич работал над коррупционным делом «Генеральный штаб», связанным с девелоперским проектом в Белграде. В нём фигурировала компания, связанная с Джаредом Кушнером, зятем президента США Дональда Трампа. Дело касается лишения статуса культурного наследия бывшего комплекса Генерального штаба армии, разрушенного при бомбардировках, для последующей застройки элитным жилым комплексом.
В декабре 2025 года прокуратура предъявила министру культуры Николе Селаковичу и ещё трём чиновникам обвинения в злоупотреблении служебным положением и подделке документов по этому делу. Баич утверждает, что в ноябре 2025 года его без объяснения причин отстранили от расследования. В феврале он выступил по этой теме на протестной акции, организованной студенческими активистами у Конституционного суда Сербии.
При планировании таких работ можно отдельно изучить в разделе услуг ИТБ по информационной безопасности доступные направления и сопоставить их с задачами своей организации.
Apple направляет такие предупреждения, когда выявляет активность, характерную для атак наёмного шпионского ПО — коммерческих инструментов, которые компании вроде NSO Group продают государствам. Компания не сообщает, кто стоит за атакой. Citizen Lab считает уведомление признаком высокой вероятности того, что устройство Баича стало целью атаки. Экспертиза его телефона продолжается, данных о подтверждённой компрометации нет.
Серия случаев в Сербии
Описанные эпизоды продолжают серию инцидентов, о которой SHARE сообщила 2 сентября. По её данным, с начала года шпионскому ПО в Сербии подверглись как минимум 14 человек, среди которых студенческие активисты, депутат от оппозиции и член местного совета. Двенадцать человек получили предупреждения Apple в августе — в тот же месяц компания направила такие уведомления пользователям в 110 странах.
У студентки Елены Контич Citizen Lab подтвердила заражение Pegasus. Ещё в двух случаях на телефонах обнаружили новую версию Android-шпионского ПО NoviSpy. С учётом Джокича и Баича Citizen Lab насчитывает не менее 16 представителей сербского гражданского общества, которые в 2026 году, согласно публичным данным, стали целями шпионского ПО либо были им заражены. В отношении Баича речь идёт о цели атаки с высокой вероятностью, а не о подтверждённом заражении.
В декабре 2024 года Amnesty International сообщала, что NoviSpy был настроен на отправку похищенных данных на сервер, IP-адрес которого принадлежал сербскому Агентству безопасности и информации — BIA. По данным организации, ПО устанавливалось на устройства активистов и журналистов во время полицейских допросов после разблокировки телефонов криминалистическими средствами Cellebrite.
6 октября адвокаты Контич подали уголовное заявление против неустановленных лиц в BIA и полиции, а также против ответственных сотрудников NSO Group. SHARE отмечает, что Pegasus продаётся только правительствам и государственным ведомствам, а ранее поданные в Сербии заявления по делам о шпионском ПО не привели к эффективным мерам.
BIA в заявлении от 3 сентября отвергло обвинения в слежке за студентами и оппозиционными политиками, назвав их «чисто тривиальным сенсационализмом». Ведомство заявило, что действует строго в рамках законодательства Сербии.
Что известно о защите
Citizen Lab не раскрыла уязвимость, использованную против iPhone Джокича. Также неизвестно, устраняют ли её актуальные версии iOS. Поэтому нельзя назвать конкретное обновление, исправляющее именно этот случай.
Для людей, которые могут подвергаться повышенному риску из-за своей деятельности или статуса, исследователи рекомендуют включить на iPhone режим блокировки и своевременно обновлять iOS. Получив уведомление Apple об угрозе, следует исходить из возможной компрометации до проведения экспертизы и без промедления обратиться за помощью: в Сербии — в SHARE Foundation, в других странах — на горячую линию цифровой безопасности Access Now. Также стоит предложить проверку устройств близким людям, включая членов семьи и коллег.
Для российских организаций этот случай не подтверждает кампанию против пользователей в России и не позволяет связать описанный zero-click-вектор с конкретной уязвимостью. Практический вывод остаётся прикладным: для сотрудников с повышенным риском необходимо поддерживать актуальность iOS, использовать режим блокировки и заранее определить порядок реагирования на уведомления Apple, включая криминалистическую проверку устройства и оценку рисков для связанных контактов.