Citizen Lab confirmó infección zero-click en el dispositivo de Vladan Đokić, figura clave del movimiento estudiantil pro-democracia, en un patrón que ya suma 16 objetivos civiles en Serbia durante 2026.
El iPhone de Vladan Đokić, rector de la Universidad de Belgrado y referente del movimiento estudiantil pro-democracia serbio, fue infectado con Pegasus de NSO Group en algún momento de 2026 mediante un exploit zero-click — sin que el usuario tuviera que abrir un archivo, tocar un enlace ni ejecutar ninguna acción. Citizen Lab confirmó el hallazgo con alta confianza seis días antes de las elecciones parlamentarias anticipadas de Serbia, programadas para el 25 de octubre. Đokić había sido mencionado públicamente como posible candidato a encabezar la Lista Estudiantil hasta septiembre, y medios afines al gobierno lo atacaron de manera sostenida desde que se negó a facilitar la represión de manifestantes. El 31 de marzo, autoridades serbias allanaron sus oficinas y confiscaron computadoras y servidores.
Cómo funciona un exploit zero-click y qué acceso otorga
Una infección con Pegasus instalado mediante exploit zero-click permite al operador del spyware acceder al dispositivo con los mismos privilegios que su propietario legítimo. Esto incluye mensajes privados y cifrados, la capacidad de activar micrófono y cámara sin conocimiento del usuario, y acceso a archivos, contactos y ubicación en tiempo real. Citizen Lab analizó artefactos forenses del iPhone de Đokić con su consentimiento y asistencia de la SHARE Foundation, organización serbia de derechos digitales. En un comunicado publicado por la universidad, Đokić calificó el spyware como otro intento de intimidación y exigió una investigación independiente, publicación de sus resultados y procesamiento penal de los responsables.
El fiscal removido de un caso de corrupción vinculado a un desarrollo de lujo
Citizen Lab también señaló el caso de Rade Bajić, fiscal senior que investigó corrupción en el caso Generalštab — una investigación sobre la remoción de protecciones de patrimonio en un sitio de Belgrado para dar paso a un desarrollo de lujo respaldado por una empresa asociada a Jared Kushner, yerno del presidente Trump. Bajić fue removido de la investigación en noviembre de 2025 sin explicación, y habló en una protesta estudiantil en febrero denunciando interferencia política en el caso. Recibió una notificación de amenaza de Apple el 13 de agosto y un recordatorio el 27 de agosto. Citizen Lab trata estas notificaciones como indicador de alta confianza de que su dispositivo fue probablemente objetivo de spyware mercenario, aunque el análisis forense de su teléfono aún está en curso y no hay confirmación de infección publicada.
Dieciséis objetivos civiles en Serbia durante un año electoral
Los casos de Đokić y Bajić elevan a al menos 16 el número de miembros de la sociedad civil serbia que fueron objetivo o infectados con spyware comercial en 2026. En septiembre, la SHARE Foundation reportó con apoyo de Citizen Lab y Amnesty International una ola anterior de ataques que incluyó a un manifestante estudiantil confirmado con Pegasus, miembros de partidos de oposición y funcionarios locales. Esos ataques ocurrieron alrededor del período previo a las elecciones locales de Serbia en marzo. El caso más reciente confirmado — el de Đokić — se descubrió seis días antes de las elecciones parlamentarias de octubre. El servicio de seguridad serbio desestimó los reportes de septiembre como sensacionalismo trivial y afirmó que opera dentro de la ley serbia.
Por qué Argentina, México y Brasil deberían prestar atención al patrón serbio
Aunque ninguno de los 16 casos confirmados en Serbia involucra objetivos en América Latina, el patrón de uso de Pegasus contra figuras de oposición política, fiscales que investigan corrupción y activistas estudiantiles en un contexto electoral replica exactamente el tipo de vigilancia documentada en México durante 2016-2017 contra periodistas y defensores de derechos humanos, y en Brasil en investigaciones sobre el uso de spyware israelí por gobiernos estatales. Pegasus se vende exclusivamente a gobiernos y agencias estatales, lo que limita el número de operadores posibles en cada país. En Argentina, donde las elecciones legislativas de 2025 generaron tensión política sostenida, y en México, donde la transición de gobierno en 2024 dejó pendientes múltiples investigaciones de corrupción, la infraestructura legal y técnica para detectar este tipo de vigilancia sigue siendo insuficiente. La SHARE Foundation en Serbia ofrece análisis forense a víctimas potenciales — un servicio que en la región solo está disponible de manera fragmentada a través de Access Now y organizaciones locales sin capacidad de respuesta a escala.
Nuestro análisis
El timing de los ataques en Serbia — marzo antes de elecciones locales, octubre antes de parlamentarias — no es coincidencia: es un patrón de uso táctico de spyware comercial en ventanas electorales que ya se documentó en Polonia, España y Cataluña. Lo que distingue el caso serbio es la escala: 16 objetivos confirmados en un solo año en un país de siete millones de habitantes representa una densidad de vigilancia comparable solo con los peores casos documentados en Medio Oriente. Citizen Lab no identificó al operador detrás del ataque a Đokić, pero la restricción de venta de Pegasus a entidades estatales reduce las posibilidades a un número finito de agencias dentro de Serbia o gobiernos aliados con capacidad de operar en su territorio.
Lo que todavía no se sabe es si los 16 casos representan el universo completo de objetivos o solo los que aceptaron análisis forense y cuyas infecciones dejaron artefactos detectables. Las notificaciones de amenaza de Apple — como las que recibió Bajić — son un indicador de probabilidad alta de targeting, pero no confirman infección ni revelan si el exploit tuvo éxito. La brecha entre notificación y confirmación forense deja un espacio de incertidumbre que los gobiernos que usan spyware explotan sistemáticamente para negar responsabilidad. ¿Cuántos rectores, fiscales y estudiantes en otros países están recibiendo notificaciones similares sin saber qué significan ni a quién recurrir para confirmarlo?