Pegasus y NoviSpy: el ciberespionaje y el hackeo en custodia policial golpean a la oposición serbia

La primera evidencia técnica salió a la luz en agosto de 2026, cuando Apple envió Notificaciones de Amenazas automatizadas a dispositivos personales propiedad de figuras de la oposición en Belgrado. Entre los destinatarios había líderes estudiantiles de las protestas, personal de la sociedad civil, un concejal municipal y un diputado de la oposición. Los controles de laboratorio de la Fundación SHARE, con sede en Belgrado, confirmaron una explotación activa entre diciembre de 2025 y mediados de 2026, un periodo en el que los partidos estaban organizando la logística de campaña para las elecciones locales y nacionales.

Pegasus no fue la única herramienta utilizada.

Amnistía Internacional encontró que la custodia policial serbia se utilizó directamente para instalar software malicioso. El análisis forense de un teléfono Android perteneciente a un estudiante activista detenido mostró que una versión recién compilada de "NoviSpy" —una cepa de malware para Android diseñada para eludir la detección de seguridad— fue cargada en el dispositivo mientras este permanecía confiscado durante el interrogatorio policial.

Se trata de una operación de doble vía. Pegasus funciona desde servidores remotos sin interacción del usuario. NoviSpy requiere un operador humano dentro de una comisaría. Una vez instalados, ambos sistemas dan a los operadores acceso total a chats cifrados, listas de contactos, archivos almacenados, datos de ubicación en tiempo real y control remoto del micrófono.

Los datos robados pasan rápidamente de la custodia policial a los medios estatales. Chats privados de Viber extraídos del teléfono de una víctima fueron leídos en voz alta durante una emisión en directo en TV Informer, una televisora progubernamental.

La presidenta de la Asamblea, Ana Brnabić, calificó los informes forenses de "idiotic", y afirmó que el gobierno no tenía conocimiento del uso de spyware y que la rueda de prensa estudiantil fue montada para "international audiences". La legislación serbia cuenta otra historia. El artículo 143 del Código Penal tipifica como delito la interceptación no autorizada y la instalación de software malicioso, con penas de prisión.

Cómo el equipo de Cellebrite acabó cargando malware en las comisarías

El aparato estatal opera con una sencilla división del trabajo. Los exploits remotos y costosos de tipo zero-click como Pegasus cubren objetivos de alto valor. Las detenciones policiales rutinarias se encargan del resto mediante la manipulación directa del hardware.

Este acceso físico se apoya en equipos forenses adquiridos originalmente para labores policiales estándar. Donantes europeos suministraron hardware de extracción digital, incluidos equipos Cellebrite UFED, al Ministerio del Interior (MUP) de Serbia para investigaciones criminales y operaciones anticorrupción. Una investigación anterior de Amnistía Internacional, de 2024, demostró que los agentes utilizaron esas mismas herramientas Cellebrite durante entrevistas en comisarías para inyectar NoviSpy en teléfonos requisados a periodistas, con los datos robados dirigidos directamente a servidores pertenecientes a la Agencia de Información de Seguridad (BIA).

La variante de NoviSpy de 2026 fue modificada justo antes de la última oleada de detenciones. Los desarrolladores alteraron la estructura de su código para eludir las comprobaciones de seguridad de Android y ocultarse del software antivirus móvil, asegurando que los analistas de seguridad se enfrentaran a un retraso antes de que las definiciones de los antivirus pudieran capturar las firmas del malware.

Las denuncias penales presentadas por la Fundación SHARE por incidentes previos de manipulación de teléfonos siguen atascadas en los tribunales serbios sin que un solo fiscal haya presentado cargos contra personal del MUP o de la BIA.

Las consecuencias políticas del desastre de la estación de Novi Sad

El momento de los hackeos está directamente vinculado a las secuelas del derrumbe de la marquesina de la estación de ferrocarril de Novi Sad en noviembre de 2024, que mató a 15 personas y desencadenó meses de protestas callejeras por la corrupción gubernamental y los contratos públicos defectuosos.

Los grupos estudiantiles lideraron esas manifestaciones, organizando bloqueos de carreteras y mítines de campaña que perturbaron el mensaje económico del gobierno. Cuando se celebraron las elecciones locales el 29 de marzo de 2026, el acceso en tiempo real a la estrategia estudiantil dio a los funcionarios estatales una clara ventaja operativa.

La vigilancia ilegal arruina la confidencialidad básica necesaria para llevar a cabo una campaña política. Interceptar los mensajes internos permite a los funcionarios estatales seguir el contacto con los votantes, mapear las fuentes de financiación, identificar a los denunciantes y disolver las manifestaciones antes de que los activistas se concentren en la calle.

Las emisiones televisivas añaden una capa adicional de intimidación. Mostrar chats privados de Viber en la televisión nacional obliga al personal de campaña, a los reporteros de investigación y a los organizadores estudiantiles a cambiar su forma de trabajar.

Apple corrigió la vulnerabilidad zero-click de iMessage en su actualización de iOS 18.4.1, mientras que grupos de seguridad aconsejaron a los miembros de la oposición activar el Modo Bloqueo. Ninguna de las dos soluciones impide que un agente de policía conecte un cable a un teléfono confiscado durante un interrogatorio.

Financiación de la UE y diplomacia regional

La revelación de las operaciones de vigilancia de Belgrado crea un problema práctico para los diplomáticos europeos que llevan años priorizando la estabilidad regional por encima de los estándares democráticos en Serbia.

Ese compromiso es más difícil de mantener cuando herramientas de hackeo de grado militar se dirigen a diputados electos dentro de un país candidato a la UE.

La vía comercial de estas herramientas sigue en gran medida sin supervisión. El grupo NSO afirma que Pegasus se vende exclusivamente a gobiernos soberanos para combatir el terrorismo y la delincuencia grave, pero su huella digital sigue apareciendo en dispositivos propiedad de activistas estudiantiles serbios, reporteros de investigación de BIRN y políticos de la oposición.