セルビアの大学学長iPhoneにPegasus感染、学生・野党関係者への監視被害が拡大

セルビアのベオグラード大学学長、ブラダン・ジョキッチ氏のiPhoneが、イスラエルのNSO Group製スパイウェア「Pegasus」に感染していたことが分かった。トロント大学の研究組織Citizen Labが、現地のデジタル権利団体SHARE Foundationと共同で調査し、2026年10月19日に公表した。

汚職事件の捜査に携わった検察関係者ラデ・バイッチ氏にも、商用スパイウェアによる標的化を知らせるAppleの通知が届いていた。同氏の端末については調査が続いている。学生運動や野党関係者に加え、大学や司法に関わる人物にも監視の対象が広がっている。

■学長の感染と検察関係者への警告

Citizen Labは、本人の同意を得てジョキッチ氏のiPhoneに残る痕跡を解析し、2026年中のPegasus感染を高い確度で確認した。攻撃には、リンクを押したりファイルを開いたりする操作を必要としない「ゼロクリック」の手法が使われた。

ジョキッチ氏は建築学の教授で、2021年10月に学長に就任した。学生の抗議活動を支持し、大学での学生の封鎖活動を終わらせるよう求める政府の圧力に抵抗してきた。Citizen Labによると、2026年3月31日には当局が学長執務室を捜索し、コンピューターやサーバーを押収した。

AP通信によると、ジョキッチ氏は感染の公表後、自身のプライバシーや安全、学長職の独立性を侵す重大な攻撃だと批判した。批判的な発言や公的活動を妨げるための威圧だという認識も示した。

バイッチ氏は、ベオグラードの組織犯罪担当検察庁で上級検察補佐官を務め、旧軍施設の再開発を巡る汚職事件の捜査に携わった人物だ。Citizen Labによると、2026年8月13日にAppleの脅威通知を受け取り、27日には再通知が届いた。

Citizen Labは、この通知をPegasusなどの商用スパイウェアによる標的化を示す、確度の高い指標と評価している。今回の2人の事例を加え、同組織が10月19日に示した、セルビアで標的化または感染が公に確認された市民社会関係者の人数は少なくとも16人となった。

■汚職捜査を担当した人物も標的に

バイッチ氏が関わったのは、ベオグラードの旧ユーゴスラビア軍参謀本部施設跡地に、高層ホテルや住宅などを建設する計画を巡る事件である。米大統領ドナルド・トランプ氏の娘婿ジャレッド・クシュナー氏に関連する企業が手掛ける、5億ドル（約790億円）規模の開発計画だった。

ロイター通信によると、セルビアの検察は2025年12月15日、文化財としての保護指定を解除する過程での不正を巡り、ニコラ・セラコビッチ文化相らを起訴した。セラコビッチ氏は不正を否定している。クシュナー氏側も同日に計画から撤退し、AP通信によると、文化相ら4人の公判は2026年2月に始まった。

Citizen Labによると、バイッチ氏は2025年11月に説明なく事件の担当を外されたと述べている。2026年2月にはデモで発言し、捜査への政治介入や権力の乱用を批判した。

専門メディアThe Recordによると、バイッチ氏は、自分が事件に関与していたことがスパイウェアによる標的化の理由だと考えている。また、2025年11月に当時のアレクサンダル・ブチッチ大統領から、国営テレビで「組織犯罪担当検察庁の犯罪者」と呼ばれたと語った。

■学生運動への攻撃を3組織が調査

SHARE Foundationは2026年9月2日、年初以降、学生運動の参加者や活動家、野党の国会議員、地方議員ら少なくとも14人が高度なスパイウェアの標的になったと発表した。同団体は、セルビアでそれまでに記録した最大規模の監視の波だとしている。

調査の端緒となったのは、8月にAppleの警告を受けてSHARE Foundationに連絡した12人だった。うち学生運動に関わる1人のiPhoneについて、Citizen Labは2025年12月から2026年1月にかけてのPegasus感染を確認した。iMessageを狙うゼロクリック攻撃だったという。

SHARE Foundationは、別の2台からAndroid向けスパイウェア「NoviSpy」の新型に相当する痕跡を確認したと報告した。アムネスティ・インターナショナルのSecurity Labも、警察の聴取中に端末を取り上げられた学生運動参加者の感染を確認している。

もう1台では、端末内の私的なViberメッセージがテレビ局Informerの番組で公開された後、同種のスパイウェアが見つかった。SHARE Foundationが初期調査や被害者との連絡を担い、Citizen Labとアムネスティがそれぞれの専門領域で解析・検証を進めている。

SHARE Foundationは、標的化の時期が、10自治体で実施された2026年3月29日の地方選挙を含む政治活動の時期と重なると指摘した。The Recordの取材に対し、同団体のアンドリヤナ・リスティッチ氏は、監視の対象が市民社会や記者、活動家から、抗議運動の参加者や選挙に関わる人々へ広がってきたと説明している。

■遠隔侵入と、拘束中の端末へのアクセス

Pegasusは、端末内のメッセージや写真、位置情報などを取得し、マイクやカメラを秘密裏に作動させる能力を持つスパイウェアだ。NSO Groupは、重大犯罪やテロへの対処を目的として、審査した政府機関に製品を提供していると説明している。

ゼロクリック攻撃は、受信したデータを端末が自動処理する際の脆弱性を悪用する。2021年にCitizen Labが公表した「FORCEDENTRY」では、Appleの画像処理機能を狙った攻撃が確認された。セルビアの学生の端末で見つかった攻撃について、Citizen Labは、iOS 18.4.1までにAppleが修正した脆弱性を使ったものとみている。

一方、Cellebriteは、法執行機関などに端末のデータ抽出・解析用の機器やソフトウェアを提供する企業だ。イスラエルのペタハティクバに本社を置き、米ナスダック市場に上場している。セルビアでは、当局が拘束・聴取中に確保した端末へアクセスする手段として、同社のUFEDが使われた事例がある。

アムネスティが2024年12月に公表した報告書「A Digital Prison」は、記者や活動家のAndroid端末で、Cellebriteによるロック解除の痕跡と、その後のNoviSpy導入を記録した。少なくとも2件では、端末の保護機能を回避したことが、スパイウェアの導入を可能にしたと結論付けている。

同報告書で扱われた別の活動家の端末では、Qualcomm製チップに関連する脆弱性「CVE-2024-43047」の悪用を示す痕跡も見つかった。解放済みメモリーの使用に関わる欠陥で、QualcommによるCVSS 3.1の評価は7.8の「高」。修正は2024年10月に公表された。

さらにアムネスティは2025年2月、2024年12月25日に拘束された学生の端末を解析した結果を発表した。この事例ではLinuxカーネルのUSB関連の脆弱性を組み合わせた別の攻撃経路が確認され、Cellebriteによる端末アクセスの手法が複数あることが示された。

■NoviSpyが収集する情報と検出の手掛かり

アムネスティが特定・命名したNoviSpyは、セルビア国内で開発されたAndroid向けスパイウェアである。同団体は、端末が警察や治安情報局（BIA）の管理下にある間の感染や、通信先のネットワーク情報などから、BIAとセルビア当局の関与を高い確度で認定した。

解析した構成には、通話履歴、SMS、連絡先を取得し、マイクによる録音を行う「com.serv.services」と、ユーザー補助機能を悪用する「com.accesibilityservice」があった。後者は画面撮影のほか、ファイルの取得、位置の追跡、カメラによる撮影にも対応していたという。

端末の画面を取得できれば、SignalやWhatsAppなどで暗号化された通信も、端末上に表示された内容を読み取れる。通信経路の暗号化に加え、送受信する端末自体の保護が重要になる理由がここにある。

アムネスティは、Android Debug Bridge（ADB）という正規の開発者向け機能を通じて、NoviSpyが導入された痕跡も記録した。2026年に見つかった新型については、Security Lab責任者のドンチャ・オ・カーバル氏が、検出を避けるために作り直されたようだとThe Recordに説明している。

感染の調査には、アムネスティが開発したオープンソースのMobile Verification Toolkit（MVT）などが使われる。同団体は、解析結果の判断には専門家の知識が必要だとしている。Kasperskyも、iPhoneの診断記録に含まれるShutdown.logからPegasusなどの感染指標を探す手法を公表している。

Citizen Labは、標的になるリスクが高い人に対し、端末を最新の状態に保ち、iPhoneではロックダウンモードの利用を検討するよう勧めている。Appleも日本語の案内で、脅威通知を受け取った場合は深刻に受け止め、専門家の支援を求めるよう呼び掛けている。

■企業の対応と、監視を巡る制度上の課題

Cellebriteは2025年2月25日、アムネスティの報告を調べた結果、関係する顧客による製品利用を停止することが適切と判断したと発表した。同社は、自社製品は法的に認められた捜査を支援するもので、顧客による不正利用の申し立てを重く受け止めるとしている。

その3日後に公表されたアムネスティの追加調査は、利用停止前の2024年12月の拘束中に起きた事例を扱っていた。同団体はセルビア当局に、報告された被害の調査、責任追及、被害者の救済、独立した監督制度の整備を求めている。

NSO Groupには、国外でも法的・規制上の対応が続いてきた。米商務省は2021年11月、同社を輸出規制対象のエンティティー・リストに追加した。米連邦地裁の2025年11月12日の判決では、WhatsAppとMetaへの賠償総額は444万7190ドル（約7億300万円）となり、同年5月の陪審による約1億6770万ドルの認定額から減額された。

エルサレム・ポストなどによると、NSO Groupは2025年10月、映画プロデューサーのロバート・シモンズ氏が率いる米投資家グループの傘下に入り、11月には元駐イスラエル米大使デービッド・フリードマン氏を執行会長に迎えた。メキシコやサウジアラビア、ハンガリー、インドなどでも、市民社会を標的とするPegasusの利用が研究者や報道機関によって調べられてきた。

AP通信によると、セルビアの警察とBIAは2024年の報告内容を否定し、BIAは法律に従って活動していると主張した。2026年9月の学生らへの監視疑惑についても、アナ・ブルナビッチ国会議長が国家による監視を否定したと現地メディアが報じている。

セルビアでは、Huawei製カメラを用いるベオグラードの「セーフシティー」構想も、監視と個人情報保護を巡る論争になってきた。SHARE Foundationによると、内務省は2019年と2020年に影響評価を作成したが、同団体などは法的要件や国際基準を満たしていないと批判した。

■選挙後も焦点となる調査と責任追及

監視問題には、投票前から国外の議員や人権専門家が懸念を示していた。現地メディアNova.rsによると、米下院議員ジョー・ウィルソン氏は2026年9月2日、セルビア市民への侵襲的なスパイウェア利用を容認できないと表明した。

CyberScoopによると、9月4日には欧州議会議員29人が、独立した調査や法の支配の改善をセルビアのEU加盟手続きの進展に結び付けるよう求めた。署名者のハンナ・ノイマン氏も、EU資金の停止や監視技術の乱用を終わらせる措置を欧州委員会に求めたと公表している。

9月15日には国連人権理事会の特別手続に関わる独立専門家らが、監視による威圧が政治参加や選挙の公正さを損なうと警告した。10月20日には、上院外交委員会の民主党筆頭委員ジーン・シャヒーン氏ら超党派の米上院議員7人が、野党関係者への違法な盗聴に関する報告などに懸念を表明し、自由で公正な選挙を求めた。

10月25日の議会選挙では、学生運動が支える「学生リスト」に対する敗北をブチッチ氏が認めた。ロイター通信によると、翌26日の開票率約99％の段階で、学生側の得票率は52.7％、定数250の議会で139議席を得る計算となった。25日午後6時時点の投票率は64.9％だった。

ブチッチ氏は2014年から首相、2017年から大統領を務め、2026年9月には首相への復帰を目指して大統領職を辞任していた。同氏が率いるセルビア進歩党は2012年から政権を担ってきた。学生運動は、2024年11月にノビサド駅のひさしが崩落し、16人が死亡した事故を契機に広がり、改修を巡る汚職疑惑の解明や責任追及を求めてきた。

監視被害については、2024年の報告後に市民団体が告訴し、高度技術犯罪担当の検察が2025年1月に事件を登録したとアムネスティは報告している。SHARE Foundationは、実効的な調査と責任追及、違法な監視を容認しないという明確な姿勢を求めている。政権移行期のセルビアでは、被害者の救済と情報機関への監督をどのように制度化するかが課題となる。

元記事: Three Labs Confirm Serbia Hacked Rector and Prosecutor With Pegasus Before Vote