O iPhone do reitor da Universidade de Belgrado, Vladan Đokić, foi infetado com o spyware Pegasus, da empresa israelita NSO Group. A infeção não exigiu qualquer ação do utilizador. O Citizen Lab, da Universidade de Toronto, e a organização sérvia de direitos digitais SHARE Foundation divulgaram a descoberta a poucos dias das eleições legislativas antecipadas na Sérvia. O mesmo relatório refere também um elemento do Ministério Público que trabalhou numa investigação de corrupção e que recebeu um alerta da Apple sobre um ataque com spyware mercenário.
Resposta rápida: O Citizen Lab confirmou com elevado grau de confiança que o Pegasus infetou o iPhone do reitor de Belgrado em 2026. A infeção usou um exploit «zero-click», que funciona sem qualquer clique da vítima. Não se sabe quem operou o spyware e a investigação continua. Para a maioria dos utilizadores, o risco é baixo. Quem receber uma notificação de ameaça da Apple deve ativar o Modo de Bloqueio, manter o sistema atualizado e pedir ajuda especializada.
O que foi confirmado no telemóvel do reitor
A análise forense foi feita a pedido do próprio visado. Segundo o relatório, com o apoio da SHARE Foundation, o Citizen Lab analisou artefactos forenses recolhidos do iPhone de Vladan Đokić, a seu pedido e com o seu consentimento. Os investigadores concluíram com elevado grau de confiança que o aparelho foi infetado com o spyware Pegasus da NSO Group em 2026, através de um exploit zero-click, sem necessidade de qualquer ação, como um clique ou a abertura de um ficheiro.
O reitor é uma das figuras públicas que mais apoiaram o movimento estudantil sérvio. A organização sérvia CRTA lembra que ambos os alvos têm sido associados publicamente a posições contrárias às das autoridades. A nota pública não indica em que momento de 2026 ocorreu a infeção, nem que vulnerabilidade foi explorada. O operador também não foi identificado: o Citizen Lab diz que as duas investigações continuam e não atribuiu a infeção de Đokić a nenhuma agência sérvia em concreto. Por outro lado, a NSO afirma que fornece o Pegasus exclusivamente a clientes governamentais.
O segundo caso: um alerta da Apple a um elemento do Ministério Público
O segundo caso envolve Rade Bajić. Segundo o relatório, foi associado sénior do Ministério Público para o Crime Organizado da Sérvia (TOK), em Belgrado, e é conhecido sobretudo pelo trabalho numa investigação de corrupção relacionada com um projeto «Trump Tower» falhado na capital sérvia. Bajić afirma ter sido afastado do chamado caso «Generalštab» em novembro de 2025, sem explicação. Em fevereiro de 2026, discursou numa manifestação contra a interferência política no processo e outros abusos de poder.
Bajić recebeu uma notificação de ameaça da Apple a 13 de agosto de 2026 e uma mensagem de lembrete a 27 de agosto. O Citizen Lab considera essa notificação um indicador de elevada confiança de que o aparelho foi provavelmente visado por spyware mercenário. Ainda assim, a infeção do dispositivo não foi confirmada e a análise forense continua em curso. Há, portanto, uma diferença importante entre os dois casos: no do reitor, a infeção está provada; no de Bajić, está apenas provada a tentativa de o visar.
Cronologia
| Data | Acontecimento |
|---|---|
| Novembro de 2024 | A queda da pala da estação ferroviária de Novi Sad desencadeia os protestos anticorrupção liderados por estudantes |
| Novembro de 2025 | Rade Bajić diz ter sido afastado do caso «Generalštab» |
| Dezembro de 2025 a janeiro de 2026 | O Pegasus infeta, sem cliques e através do iMessage, o iPhone de um estudante ativista |
| 13 de agosto de 2026 | A Apple envia notificações de ameaça a utilizadores em 110 países, entre eles Bajić |
| 27 de agosto de 2026 | Bajić recebe o lembrete da notificação |
| 2 de setembro de 2026 | A SHARE Foundation divulga pelo menos 14 alvos de spyware na Sérvia em 2026 |
| 19 de outubro de 2026 | O Citizen Lab e a SHARE publicam os casos de Đokić e Bajić |
| 25 de outubro de 2026 | Eleições legislativas antecipadas na Sérvia |
Uma vaga de vigilância com antecedentes
Estes casos não são isolados. O Citizen Lab escreve que, só em 2026, as investigações lideradas pela SHARE Foundation, com o apoio do Citizen Lab e do Security Lab da Amnistia Internacional, identificaram pelo menos 14 pessoas visadas com spyware avançado. Em setembro, a SHARE Foundation já tinha revelado que o telemóvel de um membro do movimento estudantil foi infetado com o Pegasus através de um exploit zero-click dirigido à aplicação iMessage.
Nessa mesma vaga apareceu uma segunda ferramenta, com outro método de ataque. A Amnistia Internacional confirmou a infeção com uma nova versão do spyware NoviSpy no telemóvel de um estudante cujo aparelho tinha sido confiscado quando foi chamado a interrogatório policial. Ao contrário do Pegasus, o NoviSpy exige acesso físico ao dispositivo. De acordo com a SHARE, os restantes 11 dispositivos receberam notificações de ameaça da Apple, um indicador de elevada confiança de que foram visados por spyware mercenário, pelo que devem ser tratados como presumivelmente infetados.
O que significa um ataque «zero-click»
Num ataque zero-click, o atacante explora vulnerabilidades em componentes que processam dados recebidos de forma automática, como os serviços de mensagens. O utilizador não precisa de interagir com nada. Por isso, conselhos clássicos como «não clique em links suspeitos» não chegam para travar este tipo de ameaça. No caso de setembro, a SHARE explicou que o dispositivo foi infetado remotamente, sem conhecimento nem interação do utilizador.
Até agora, não foram publicados indicadores de comprometimento (IOCs) específicos nem identificadores CVE associados à infeção do reitor. Também não se sabe se a vulnerabilidade usada já foi corrigida pela Apple.
Como se proteger: as recomendações da Apple
A Apple sublinha que estes ataques têm alvos muito específicos. No documento de apoio sobre notificações de ameaça, explica que os atacantes aplicam recursos excecionais para visar um número muito reduzido de pessoas e dispositivos, e que a grande maioria dos utilizadores nunca será alvo deste tipo de ataque. Para quem está em risco, as medidas recomendadas são estas:
- Ativar o Modo de Bloqueio (
Definições > Privacidade e segurança > Modo de Bloqueio). A Apple refere que mesmo quem não recebeu notificação mas tem boas razões para acreditar que pode ser visado individualmente pode ativá-lo como proteção adicional. - Manter o iOS sempre atualizado, porque as atualizações de segurança fecham vulnerabilidades que estes ataques exploram.
- Pedir ajuda especializada. A Apple recomenda a assistência de emergência da Digital Security Helpline, da organização sem fins lucrativos Access Now.
- Confirmar que o alerta é verdadeiro. As notificações da Apple nunca pedem para clicar em links, abrir ficheiros, instalar apps ou perfis, nem para fornecer a palavra-passe ou um código de verificação. Uma mensagem que peça alguma destas coisas é, quase de certeza, phishing.
Convém também perceber o que um alerta significa e o que não significa. Segundo a TechRepublic, a Apple descreve-os como avisos de elevada confiança de que certas pessoas foram visadas, e não como prova de que o spyware foi instalado.
Porque é que isto importa em Portugal
A Sérvia é candidata à adesão à União Europeia, e o uso de spyware mercenário contra a sociedade civil tem sido debatido nas instituições europeias. Os alvos habituais destas ferramentas são jornalistas, académicos, advogados, magistrados e ativistas. São perfis que também existem em Portugal e que podem ser visados por atores estatais estrangeiros. O CNCS/CERT.PT é a entidade nacional de referência para reportar incidentes. Quem for visado e receber uma notificação deste tipo deve tratá-la como um incidente sério e procurar apoio técnico especializado.
Há ainda implicações para as organizações. Universidades, escritórios de advogados, órgãos de comunicação social e entidades públicas abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2) devem incluir os dispositivos móveis dos dirigentes na sua gestão de risco. Isto passa por políticas de atualização obrigatória, Modo de Bloqueio para quem tem um perfil de risco elevado e procedimentos de resposta quando chega um alerta. Um telemóvel comprometido dá acesso a mensagens, contactos e documentos, muitas vezes com dados pessoais de terceiros. Isso pode configurar uma violação de dados à luz do RGPD, com o eventual dever de notificar a CNPD.
Perguntas frequentes
O que é o Pegasus?
É um spyware comercial desenvolvido pela empresa israelita NSO Group, capaz de comprometer iPhones e telemóveis Android. Depois de instalado, dá ao operador acesso praticamente total ao aparelho, incluindo mensagens, fotografias e conversas cifradas.
Quem está por trás da infeção do reitor de Belgrado?
Não se sabe. O Citizen Lab confirmou a infeção com elevado grau de confiança, mas não identificou o operador. A NSO afirma que só vende o Pegasus a governos, e a investigação continua.
Receber uma notificação de ameaça da Apple significa que o telemóvel foi infetado?
Não necessariamente. A notificação é um alerta de elevada confiança de que a pessoa foi visada individualmente, mas só uma análise forense pode confirmar uma infeção. É isso que está a acontecer no caso de Rade Bajić.
O que devo fazer se receber um alerta destes?
Ative o Modo de Bloqueio, atualize o sistema operativo e peça ajuda especializada, por exemplo à Digital Security Helpline da Access Now. Desconfie de qualquer mensagem que lhe peça para clicar em links ou fornecer palavras-passe: a Apple nunca o faz.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Citizen Lab, pela SHARE Foundation e pela Apple.