O Citizen Lab, da Universidade de Toronto, confirmou forensicamente a infeção de um iPhone com o spyware Pegasus, do NSO Group, através de um exploit zero-click dirigido ao iMessage — ou seja, sem que a vítima tivesse de tocar em qualquer link ou anexo. A análise, publicada a 2 de setembro de 2026 e feita em colaboração com a SHARE Foundation, incidiu sobre artefactos forenses do telemóvel de um membro do movimento estudantil sérvio que tinha recebido uma Notificação de Ameaça da Apple, e identificou indicadores de elevada confiança de infeção entre dezembro de 2025 e janeiro de 2026. Os investigadores acreditam que a falha explorada foi corrigida pela Apple a partir do iOS 18.4.1.
Resposta rápida: Investigadores do Citizen Lab confirmaram uma infeção com o spyware Pegasus num iPhone de um ativista estudantil na Sérvia, através de um exploit sem interação do utilizador no iMessage. A vulnerabilidade terá sido corrigida a partir do iOS 18.4.1, pelo que manter o sistema atualizado é a defesa mais imediata. Quem receber uma Notificação de Ameaça da Apple deve tratar o equipamento como potencialmente comprometido e procurar apoio especializado. Para perfis de risco elevado, ativar o Modo de Isolamento (Lockdown Mode) reduz drasticamente a superfície de ataque.
O que os investigadores confirmaram
A conclusão do Citizen Lab é clara: um exploit zero-click contra o iMessage foi usado para instalar o Pegasus no dispositivo, com indicadores de elevada confiança relativos ao período entre dezembro de 2025 e janeiro de 2026, sem que isso exclua outras infeções. O caso é tornado público a pedido e com o consentimento da pessoa visada, que optou por não ser identificada, razão pela qual a data e hora exatas da infeção também não foram divulgadas.
Do ponto de vista técnico, o significado de um zero-click é sempre o mesmo: não há erro humano a corrigir. Uma infeção deste tipo não seria visível para o alvo e daria ao operador do Pegasus acesso total ao equipamento. Na prática, o spyware permite fazer tudo aquilo que o utilizador faz — aceder a notas, fotografias e até mensagens cifradas — e tem ainda a capacidade de ativar de forma encoberta o microfone e a câmara.
Importa sublinhar o que não foi divulgado: o Citizen Lab não publicou um identificador CVE nem detalhes do encadeamento do exploit, limitando-se a indicar que a falha foi corrigida a partir do iOS 18.4.1. Não existem, por isso, indicadores de comprometimento públicos (domínios, hashes ou processos) associados especificamente a este caso que possam ser carregados em ferramentas de deteção. Trata-se de uma prática habitual em investigações que envolvem vítimas identificáveis e exploits ainda sensíveis.
Uma vaga, não um caso isolado
A SHARE Foundation documentou pelo menos 14 casos de pessoas do movimento estudantil e da sociedade civil sérvia, incluindo um deputado da oposição, que receberam recentemente Notificações de Ameaça da Apple. Entre os alvos confirmados contam-se membros do movimento estudantil, ativistas, deputados da oposição e um autarca local, e se pelo menos um dispositivo foi visado com Pegasus, pelo menos dois outros foram visados com malware semelhante ao NoviSpy, revelado pela Amnistia Internacional na Sérvia em dezembro de 2024. O Citizen Lab confirmou a infeção por Pegasus com elevada probabilidade, enquanto a Amnistia Internacional confirmou que dois equipamentos tinham sido infetados com uma nova versão do NoviSpy.
A vaga foi detetada em agosto, depois de a Apple ter notificado pessoas em 110 países de que teriam sido provavelmente vítimas de spyware mercenário, e é descrita pela SHARE Foundation como a maior vaga documentada deste tipo de infeções na Sérvia até hoje. Em comunicado, a Apple indicou ter enviado notificações de ameaça a 13 de agosto a utilizadores visados em 110 países, tendo já alertado utilizadores em mais de 150 países no total. A SHARE Foundation nota que as infeções coincidiram com a preparação de eleições locais em março, e John Scott-Railton, investigador sénior do Citizen Lab, afirmou que as conclusões e as notificações da Apple revelam que o movimento pró-democracia pacífico da Sérvia está a ser agressivamente visado com spyware mercenário antes de ciclos eleitorais decisivos em 2026.
Cronologia do caso
| Data | Acontecimento |
|---|---|
| Dezembro de 2024 | Amnistia Internacional revela o uso do spyware NoviSpy na Sérvia, associado a ferramentas forenses Cellebrite |
| Dez. 2025 – Jan. 2026 | Período com indicadores de elevada confiança de infeção por Pegasus no iPhone analisado |
| Março de 2026 | Eleições locais na Sérvia, cuja preparação coincide com as infeções documentadas |
| 13 de agosto de 2026 | Apple envia notificações de ameaça a utilizadores em 110 países |
| 2 de setembro de 2026 | Citizen Lab publica a confirmação forense; SHARE Foundation divulga o seu relatório |
Recebeu uma Notificação de Ameaça da Apple? O que fazer
O Citizen Lab é explícito na orientação: uma Notificação de Ameaça da Apple é um indicador de elevada confiança de que o dispositivo foi visado por spyware mercenário, deve ser tratada como presunção de infeção e o destinatário deve procurar imediatamente assistência especializada. Medidas concretas a considerar:
- Atualizar de imediato o sistema operativo. Segundo o investigador Bill Marczak, as atualizações de segurança da Apple neutralizaram entretanto o spyware.
- Ativar o Modo de Isolamento (
Lockdown Mode) em iOS, iPadOS e macOS, sobretudo em perfis de risco: jornalistas, advogados, ativistas, quadros de direção e pessoas expostas politicamente. - Preservar provas: não fazer uma reposição de fábrica antes de recolher cópias de segurança e registos que permitam análise forense.
- Recorrer a apoio pro bono de organizações especializadas em segurança digital para sociedade civil, em vez de tentar diagnósticos improvisados.
- Rever a exposição das contas associadas (iCloud, correio eletrónico, gestores de palavras-passe) e reforçar a autenticação multifator com chaves físicas.
Quem está por trás e o que se sabe do NSO Group
A atribuição do operador — isto é, quem encomendou e conduziu a operação — não foi estabelecida publicamente. A agência Reuters indicou não ter conseguido determinar quem é responsável pelas alegadas infeções. Quanto ao fabricante, o NSO Group foi colocado na lista negra do governo norte-americano em 2021 por preocupações com abusos de direitos humanos e, em 2025, foi adquirido por um grupo de investimento americano, embora continue a operar a partir de Israel e sob regulação israelita.
Há também um ângulo jurídico que interessa a qualquer país europeu. Em Belgrado, a jurista Ana Toskić Cvetinović, da organização Partneri Srbija, afirmou que o uso deste tipo de software sem autorização judicial constitui crime à luz da lei sérvia, sublinhando que o Código de Processo Penal exige uma decisão judicial fundamentada para vigilância secreta e que, tanto quanto sabe, não existe nada disso neste caso.
Porque é que isto importa em Portugal
É tentador arrumar o Pegasus na gaveta dos casos exóticos que só afetam ativistas em regimes sob pressão. Seria um erro de avaliação. O que este caso demonstra é que existe um mercado maduro de exploits sem interação do utilizador contra plataformas móveis atualizadas — as mesmas que quadros de direção, advogados, jornalistas e responsáveis públicos portugueses usam todos os dias, muitas vezes em regime BYOD e fora do perímetro gerido pela organização.
Para as organizações abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de risco deixou de poder ignorar o telemóvel. A obrigação de adotar medidas técnicas e organizativas adequadas, de gerir vulnerabilidades e de comunicar incidentes significativos ao CNCS/CERT.PT aplica-se igualmente à frota móvel: política de atualizações rápidas, inventário de dispositivos com acesso a informação sensível, procedimentos de resposta que prevejam a preservação de artefactos forenses de iOS e Android e formação específica para funções de alto risco.
Há ainda a dimensão de proteção de dados. Um telemóvel comprometido por spyware desta classe expõe comunicações, localização, contactos e, muitas vezes, dados pessoais de terceiros — clientes, fontes, doentes ou trabalhadores. Em contexto empresarial, um incidente destes pode constituir uma violação de dados pessoais nos termos do RGPD, com o dever de avaliar o risco e, quando aplicável, notificar a CNPD e os titulares afetados. Para as PME, a lição prática é mais simples do que parece: atualizar sistemas sem demora, restringir o que circula em aplicações de mensagens e assumir que o telemóvel de um administrador vale, para um atacante, tanto ou mais do que o servidor de ficheiros.
Perguntas frequentes
O que é um ataque zero-click?
É um ataque que não exige qualquer ação da vítima: basta que o dispositivo receba e processe um conteúdo malicioso, por exemplo através de uma aplicação de mensagens. Neste caso, a infeção não seria visível para o alvo e daria ao atacante acesso total ao dispositivo.
A falha já está corrigida?
O Citizen Lab acredita que o exploit usado visava o iMessage e que a falha foi corrigida pela Apple a partir do iOS 18.4.1. Não foi divulgado publicamente um identificador CVE associado a este caso concreto, pelo que a recomendação é manter sempre a versão mais recente do sistema.
Devo preocupar-me se não sou ativista nem jornalista?
O spyware mercenário é caro e usado de forma seletiva, pelo que a maioria dos utilizadores não é alvo direto. Ainda assim, advogados, quadros de direção, investigadores e titulares de cargos públicos entram em categorias de risco acrescido e devem adotar atualizações imediatas, autenticação forte e, quando justificável, o Modo de Isolamento.
O que fazer se receber uma notificação de ameaça da Apple?
O Citizen Lab recomenda tratar o aviso como presunção de infeção e procurar imediatamente apoio especializado. Antes de apagar seja o que for, preserve cópias de segurança e registos; num contexto organizacional, acione o processo interno de resposta a incidentes e avalie os deveres de comunicação ao CNCS/CERT.PT e à CNPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo Citizen Lab (Universidade de Toronto), pela SHARE Foundation, pela Amnistia Internacional e pela Apple, bem como em reportagem da agência Reuters.