Citizen Lab ve spolupráci se SHARE Foundation zveřejnil analýzu případu, při kterém byl v Srbsku použit spyware Pegasus proti členu studentského protestního hnutí.Forenzní analýza potvrdila, že k infekci iPhonu byl použit zero-click exploit prostřednictvím iMessage, takže uživatel nemusel otevřít žádnou přílohu, kliknout na odkaz ani jinak reagovat na přijatou zprávu.Citizen Lab nalezl vysoce spolehlivé známky kompromitace z období mezi prosincem 2025 a lednem 2026, přičemž zároveň upozorňuje, že tato data nemusí představovat všechny případné infekce zařízení.
Co znamená zero-click exploit
Zero-click exploit označuje způsob útoku, při kterém není k úspěšné kompromitaci zařízení nutná aktivní spolupráce uživatele. Útočník využívá chybu v komponentě, která sama zpracovává přijatá data. U mobilních zařízení může jít například o zpracování zprávy, obrázku, videa, zvukového souboru nebo jiného mediálního obsahu. V případě útoku spojeného s Pegasem byl jako vstupní mechanismus využit iMessage. Tento typ útoku je z bezpečnostního pohledu významný zejména tím, že eliminuje jeden z nejčastějších obranných prvků proti phishingu a sociálnímu inženýrství. Uživatel totiž nemá prakticky žádnou možnost útok rozpoznat podle vlastního chování, protože žádné chování nemusí následovat.
Pegasus není běžný spyware
Pegasus je komerční spyware vyvinutý společností NSO Group a je určený především pro vysoce cílené operace. Po kompromitaci zařízení může získat přístup k celé řadě informací uložených v telefonu a podle předchozích analýz může také umožnit sledování komunikace, polohy nebo aktivaci mikrofonu a kamery. Z pohledu útočníka proto není cílem pouze získání jednoho hesla nebo konkrétního souboru. Cílem je dlouhodobý přístup k samotnému zařízení a k datům, která zařízení zpracovává. To má význam také v případě šifrované komunikace. Šifrování chrání data při přenosu mezi zařízeními, ale kompromitovaný telefon může být schopen získat obsah přímo v okamžiku, kdy je na zařízení dostupný v nezašifrované podobě.
Zranitelnost byla opravena už v roce 2025
Na případu je zajímavá také časová souvislost s bezpečnostní aktualizací společnosti Apple. Apple vydal iOS 18.4.1 dne 16. dubna 2025 a v bezpečnostním bulletinu popsal dvě zranitelnosti, které podle společnosti mohly být zneužity při extrémně sofistikovaném útoku proti konkrétním osobám. Jedna ze zranitelností se týkala komponenty CoreAudio. Zpracování škodlivě vytvořeného mediálního souboru mohlo vést ke spuštění kódu a Apple uvedl, že o možném zneužití této chyby v cíleném útoku věděl. Druhá zranitelnost se týkala mechanismu Pointer Authentication a mohla za určitých podmínek umožnit obejít tuto ochranu. Apple obě chyby v iOS 18.4.1 opravil. Citizen Lab následně uvedl, že exploit použitý v analyzovaném případu souvisel právě s touto aktualizací a že zařízení bylo kompromitováno v době před odhalením a opravou zranitelnosti.
Proč je iMessage zajímavým cílem
iMessage představuje pro podobné útoky atraktivní část operačního systému právě kvůli tomu, že systém přijatý obsah zpracovává automaticky. Útočník tak nemusí spoléhat na to, že příjemce zprávu ručně otevře. Stačí vytvořit data, která při zpracování vyvolají chybu v některé ze součástí systému. Historie Pegasu ukazuje, že iMessage byl v minulosti využíván také při dalších zero-click útocích proti iPhonům. Příkladem je exploit FORCEDENTRY, který Citizen Lab popsal v roce 2021 jako zero-click útok využívající zpracování obsahu v iMessage. To ukazuje, že problém není omezený na jednu konkrétní zranitelnost. Pro sofistikované útočníky představuje automatické zpracování komplexních dat dlouhodobě zajímavý útočný povrch.
V Srbsku nešlo pouze o jeden případ
SHARE Foundation uvádí, že od začátku roku 2026 bylo v Srbsku cíleno nejméně 14 lidí prostřednictvím pokročilého spywaru. Mezi cílenými byli členové studentského hnutí, aktivisté, opoziční poslanec a místní zastupitel. Podle SHARE obdrželo dvanáct lidí upozornění od Applu, že se stali cílem útoku využívajícího mercenary spyware. Apple Threat Notification používá pro případy, kdy společnost vyhodnotí cílení na konkrétní osoby s vysokou mírou jistoty. Citizen Lab následně u jednoho z analyzovaných iPhonů forenzně potvrdil právě Pegasus. To však neznamená, že je možné všechny popsané případy automaticky označit za infekci Pegasem. U jednotlivých zařízení mohou být použity různé nástroje a dostupné důkazy se mohou lišit.
Vedle Pegasu se objevil také NoviSpy
Případ v Srbsku je zajímavý také kvůli dalšímu spywaru známému jako NoviSpy. SHARE Foundation popisuje novou variantu tohoto Android spywaru, která byla nalezena v souvislosti s případy cílení na členy studentského hnutí. V některých případech přitom existoval fyzický přístup k zařízení, například po jeho zabavení během policejního výslechu. To představuje jiný model útoku než u Pegasu. U Pegasu může být hlavním problémem vzdálené zneužití zranitelnosti bez interakce uživatele, zatímco u NoviSpy může hrát zásadní roli fyzický přístup k zařízení. Výsledkem je však podobný cíl, tedy získání rozsáhlého přístupu k obsahu telefonu.
Politický kontext je důležitý, ale je potřeba oddělit fakta od domněnek
SHARE Foundation uvádí, že série případů v Srbsku časově souvisela s místními volbami konanými 29. března 2026. Cílovou skupinu tvořili lidé spojení se studentským hnutím a opozicí. To představuje významný kontext pro hodnocení celé kampaně. Samotné potvrzení infekce Pegasem však automaticky nedokazuje, který konkrétní subjekt útok provedl nebo objednal. U podobných případů je proto důležité oddělovat technické důkazy o infekci od následných závěrů o původci útoku. Právě zde má forenzní analýza Citizen Lab význam, protože se zaměřuje na technické artefakty nalezené přímo v zařízení. Co případ znamená pro uživatele iPhonu. Nejdůležitějším obranným opatřením zůstává instalace bezpečnostních aktualizací. V případě iOS 18.4.1 Apple opravil zranitelnosti, které podle vlastního vyjádření mohly být využity při sofistikovaných cílených útocích. Pro osoby s vyšším rizikem cíleného sledování může být relevantní také Lockdown Mode, který omezuje některé funkce zařízení s cílem zmenšit útočnou plochu. Zároveň je důležité chápat rozdíl mezi běžným kybernetickým útokem a mercenary spyware. Běžný uživatel se s Pegasem pravděpodobně nesetká. Zero-click útoky tohoto typu jsou nákladné, technicky složité a typicky určené proti konkrétním cílům. Případ přesto ukazuje, že ani moderní mobilní operační systém s rozsáhlými bezpečnostními mechanismy není imunní vůči nově objeveným zranitelnostem.
Pegasus zero-click spyware jako připomínka významu aktualizací
Případ z roku 2026 ukazuje několik důležitých trendů současné mobilní bezpečnosti. Zero-click útoky umožňují obejít nutnost interakce uživatele. Komerční spyware může kombinovat zranitelnosti operačního systému s pokročilými mechanismy pro následný přístup k zařízení. Útoky mohou být vysoce cílené a zaměřené na relativně malý počet konkrétních osob. A především se opět ukazuje, že bezpečnostní aktualizace nejsou pouze opravou drobných chyb. Někdy opravují zranitelnosti, které už v daném okamžiku aktivně využívají útočníci. V případě Pegasu proto nejde pouze o otázku toho, zda uživatel klikl na škodlivou zprávu. V tomto případě nebyl žádný kliknutý odkaz ani otevřená příloha potřeba. Stačilo, aby zařízení přijalo a zpracovalo speciálně vytvořený obsah.
Zdroje
1. Citizen Lab – https://citizenlab.ca/research/pegasus-spyware-infection-of-serbian-activist
2. SHARE Foundation – https://sharefoundation.info/en/share-foundation-students-and-opposition-politicians-targeted-by-spyware
3. Apple – https://support.apple.com/cs-cz/122282
4. Citizen Lab – https://citizenlab.ca/research/pegasus-spyware-infection-of-serbian-activist
5. The Hacker News – Pegasus zero-click spyware exploit https://thehackernews.com/2026/09/pegasus-zero-click-spyware-exploit.html
