Organizații pentru drepturi digitale cer UE să condiționeze avansul Serbiei spre aderare de oprirea abuzurilor cu spyware

Rețeaua European Digital Rights (EDRi) și SHARE Foundation cer Uniunii Europene să condiționeze progresul Serbiei spre aderare de oprirea abuzurilor cu programe de spionaj informatic, după documentarea unor atacuri împotriva studenților și opozanților. Investigația include infectarea confirmată cu Pegasus a telefonului unui membru al mișcării studențești, însă cercetătorii nu identifică public cine a ordonat sau operat acel atac.

Apelul celor două organizații pentru drepturi digitale, publicat la 23 septembrie, pornește de la constatările făcute publice de SHARE și Citizen Lab la 2 septembrie. SHARE a documentat cel puțin 14 persoane vizate, între care membri ai mișcării studențești, activiști, un parlamentar și un consilier local din opoziție. Accesul clandestin la telefoanele lor poate expune conversațiile, contactele și persoanele cu care se organizează, avertizează organizațiile.

Cele 14 cazuri nu reprezintă 14 infectări confirmate cu Pegasus. În august, 12 persoane au contactat SHARE după ce primiseră alerte Apple privind atacuri cu spyware comercial. Analizele ulterioare au identificat și două infectări pe Android cu un program descris de SHARE ca o nouă versiune a NoviSpy. Apple precizează că alertele sale indică, cu un grad ridicat de încredere, vizarea individuală a utilizatorului, dar că investigațiile companiei nu pot oferi certitudine absolută.

În cazul iPhone-ului analizat de Citizen Lab, cercetătorii au găsit indicii de infectare cu Pegasus în intervalul decembrie 2025–ianuarie 2026. Atacul a exploatat iMessage fără ca utilizatorul să fie nevoit să deschidă un link sau să întreprindă vreo altă acțiune. Laboratorul a făcut public cazul cu acordul persoanei vizate, păstrându-i anonimatul și nepublicând momentul exact al infectării pentru a-i proteja viața privată.

Compromiterea telefonului permite un acces mult mai larg decât interceptarea unei singure conversații. Potrivit Citizen Lab, Pegasus, dezvoltat de NSO Group, poate accesa fotografii, notițe și mesaje, inclusiv din aplicații cu comunicații criptate, și poate activa pe ascuns microfonul sau camera. Acestea sunt capacitățile programului; raportul public nu inventariază datele efectiv extrase din telefonul studentului.

Cele două cazuri Android descrise de SHARE presupun o altă metodă, care necesită acces fizic la dispozitiv. Într-unul dintre ele, telefonul unui membru al mișcării studențești fusese confiscat când acesta a fost dus la audieri la poliție. În declarația publicată de SHARE, șeful Security Lab al Amnesty International, Donncha Ó Cearbhaill, afirmă că instrumentele au fost instalate în timpul detenției și că noul program a fost „conceput cu eforturi specifice pentru a evita detectarea de către experții în securitate”.

SHARE spune că același program a fost găsit pe un al doilea telefon după difuzarea unor mesaje Viber private de pe dispozitiv la televiziunea Informer. Această succesiune face parte din probele prezentate de organizație; comunicatul nu stabilește cine a transmis mesajele televiziunii. Nici constatarea infectării cu Pegasus, în cazul separat analizat de Citizen Lab, nu echivalează cu atribuirea acelui atac autorităților sârbe. Președinta parlamentului, Ana Brnabić, neagă spionarea studenților, potrivit The Guardian.

Pentru EDRi și SHARE, consecința politică depășește încălcarea vieții private. Organizațiile avertizează că accesul la comunicările opozanților poate permite identificarea colaboratorilor și a planurilor lor și poate fi folosit pentru discreditare sau șantaj. Ele cer Comisiei să trateze folosirea spyware ca parte a evaluării reculului democratic și să condiționeze progresul aderării de încetarea utilizării acestor instrumente de către agențiile de securitate și alte autorități sârbe.

Comisia consemnase deja atacuri cu spyware asupra unor persoane reținute sau audiate, în raportul despre Serbia din noiembrie 2025. Un caz privind cel puțin șapte persoane se afla atunci în faza de verificări preliminare, fără indicii de progres. Evaluarea precedă cazurile anunțate în septembrie 2026 și nu stabilește stadiul actual al acelui dosar.

Presiunea politică include și finanțarea europeană. La 3 septembrie, grupul Verzilor/ALE din Parlamentul European a cerut suspendarea plăților către Serbia prin instrumentele de preaderare și Mecanismul de reformă și creștere, până la încheierea unei investigații internaționale complete. Grupul a solicitat și un audit independent al agențiilor de securitate. Acestea sunt cererile grupului politic, fără a constitui prin ele însele o suspendare a fondurilor.

EDRi susține că reacția UE față de Serbia trebuie însoțită de măsuri împotriva abuzurilor din interiorul Uniunii. Organizația promovează o interdicție care să acopere dezvoltarea, producția, comercializarea, exportul și utilizarea spyware și cere eliminarea stimulentelor financiare pentru industrie. Este poziția sa de advocacy, nu o interdicție generală adoptată de UE. În apelul privind Serbia, EDRi și SHARE solicită totodată investigații și căi efective de reparare a prejudiciilor pentru persoanele vizate.

Analizele tehnice ale cazurilor continuă, potrivit SHARE și Citizen Lab. Pentru persoanele care primesc o alertă, organizațiile recomandă sprijin specializat, iar Citizen Lab îndeamnă utilizatorii expuși să activeze Lockdown Mode și să își actualizeze dispozitivele. Cercetătorii consideră că vulnerabilitatea folosită în atacul analizat a fost remediată de Apple; această măsură de protecție nu lămurește însă cine a comandat supravegherea sau ce date a obținut.