Na telefonu srbského studenta našli špionážní software Pegasus. Citizen Lab vládu neobvinil, americký kongresman ano

Kanadské výzkumné pracoviště Citizen Lab potvrdilo, že na iPhonu člena srbského studentského protestního hnutí byl nasazen špionážní software Pegasus od izraelské firmy NSO Group. Útok prošel takzvaným zero-click exploitem v iMessage, tedy aniž by oběť cokoli otevřela nebo na cokoli klikla. Stopy infekce sahají do období od prosince 2025 do ledna 2026. Podle portálu CyberScoop jde o první případ nasazení Pegasu z roku 2026, který Citizen Lab forenzně potvrdil. CyberScoop ↗ Citizen Lab ↗

Podstatné je ale to, co v té zprávě není. Citizen Lab nikde neuvádí, kdo software nasadil — konstatuje jen, že k cílení došlo před klíčovými volbami roku 2026, přičemž místní se konaly 29. března. Právě v té mezeře se odehrává všechno ostatní: srbská opozice i americký kongresman mluví o režimu, vládní agentura to popírá a forenzní zpráva mlčí.

Co je doloženo a co je tvrzení

Rozdíl mezi těmi dvěma věcmi je v tomto případě celý příběh. Forenzně potvrzené jsou zatím tři infekce: jedna Pegasem na iPhonu, kterou doložil Citizen Lab, a dvě novou verzí androidového softwaru NoviSpy — na dvou zařízeních, z toho jednom patřícím členovi studentského hnutí. Citizen Lab ↗ SHARE Foundation ↗

Širší číslo, které koluje médii, je jiného druhu. Nadace SHARE mluví o nejméně čtrnácti zacílených lidech od začátku roku 2026 — jsou mezi nimi členové studentského hnutí, aktivisté, jeden poslanec Národního shromáždění a jeden místní zastupitel, všichni z opozičních stran. Dvanáct z nich se ozvalo odborníkům poté, co dostali výstrahu, a jedenáct zařízení takovou notifikaci od Apple skutečně dostalo.

Výstraha od Apple ale není totéž co doložená infekce. Je to silný indikátor, že terčem žoldnéřského špionážního softwaru daný člověk opravdu byl — neříká však, jestli se útok do telefonu i dostal. Právě proto je rozdíl mezi čtrnácti zacílenými a třemi potvrzenými infekcemi podstatný, i když se v titulcích ztrácí. SHARE Foundation ↗

Zranitelnost, kterou útok využil, Apple mezitím opravil v iOS 18.4.1.

NoviSpy se vrací — a jednou už adresu měl

Právě druhý nález má větší váhu, než se na první pohled zdá. NoviSpy není neznámý software: pojmenovala ho Amnesty International ve vyšetřování z prosince 2024 nazvaném „Digitální vězení". Tehdy zdokumentovala, že srbská policie a zpravodajská služba používaly forenzní nástroje firmy Cellebrite k odemčení telefonů novinářů a aktivistů a v době, kdy měly přístroj v rukou, do něj instalovaly právě NoviSpy. Amnesty International ↗

Amnesty tehdy software připsala Bezpečnostně-informační agentuře s vysokou mírou jistoty. To je důvod, proč se dnešní nález nečte jako nové obvinění, ale jako pokračování zdokumentovaného vzorce.

Jak reagoval Bělehrad

Bezpečnostně-informační agentura tvrzení o použití špionážního softwaru v Srbsku odmítla. Politika (blízká vládě) ↗

Prezident Aleksandar Vučić zvolil jinou polohu. Řekl, že odposlouchávali i jeho, že to vydržel a že si na to nestěžuje. Danas ↗ N1 ↗

Z opozice se ozval poslanec Radomir Lazović ze Zeleno-levicové fronty, podle kterého ho odposlouchávali ve stejné době jako studenty a chce se obrátit na mezinárodní instituce. Danas ↗ Terčem měli být i dva členové Národního hnutí Srbska, které žádá vyšetřování a vyvození odpovědnosti. Nova ↗

Ze zahraničí se ozval republikánský kongresman Joe Wilson, spolupředseda americké Helsinské komise. Napsal, že je nepřijatelné, aby Vučićův režim používal invazivní sledovací software proti srbským občanům, a označil to za totalitní technologii obrácenou proti lidem, kteří žádají vládu práva. N1 ↗

Proč to není jen srbská věc

Srbsko je kandidátskou zemí na vstup do Evropské unie a jednání o kapitolách o soudnictví a základních právech jsou tou částí procesu, kde se taková zjištění posuzují. Případ má ale i druhý rozměr: Pegasus není exotický nástroj vzdáleného režimu. Stejný software vyvolal v posledních letech politické krize uvnitř unie — v Polsku, Maďarsku, Řecku i Španělsku — a Evropský parlament k němu zřídil zvláštní vyšetřovací výbor.

O případu informovala i rakouská veřejnoprávní televize, tedy médium země, která patří mezi největší zahraniční investory v Srbsku. ORF ↗

Limity tohoto pohledu

Většina zdrojů k tomuto tématu pochází z okruhu srbských médií, která jsou vůči vládě kritická — Nova, Danas i N1. Neznamená to, že jejich zjištění jsou nepřesná, ale znamená to, že rámování je jejich. Vládní pohled zastupuje v tomto textu Politika a odmítnutí ze strany agentury, nic víc jsme k dispozici neměli.

Druhá věc, kterou je třeba říct nahlas: z toho, že NSO Group prodává Pegasus výhradně státům, nevyplývá, který stát ho v tomto konkrétním případě použil. Je to indicie, ne důkaz, a Citizen Lab ji právě proto nepovažoval za dostatečnou k tomu, aby někoho jmenoval. Kdo software nasadil, zůstává otevřené.

Nakonec ani vyjádření kongresmana Wilsona není neutrálním posudkem. Wilson je dlouhodobým kritikem Vučićovy politiky vůči Moskvě a spolupředkladatelem zákona, který má na Srbsko tlačit — jeho reakce je politický akt, ne vyšetřovací závěr.

Co sleduje hotinfo

Ilustrační foto: pořádková policie v centru Bělehradu v předvečer protestu 15. března 2025. Autorka Emilija Knezevic, Wikimedia Commons, CC BY 4.0.