Најмање четрнаест људи из редова студентског покрета, активиста и опозиције мета је напредног шпијунског софтвера у 2026. години. То је највећи документовани талас овакве врсте надзора у Србији до сада. Али сама бројка није најважнији део приче — важније је разумети шта је тачно доказано, којим редоследом, и зашто један мање софистициран алат носи јачи доказни терет од оног скупљег.
Шта се догодило
Фондација SHARE је 2. септембра 2026. потврдила да је најмање четрнаест особа у Србији било мета напредног шпијунског софтвера од почетка године. Међу метама су чланови студентског покрета, активисти, народни посланик и одборник — сви из опозиционих редова. Временски, таласи се поклапају са локалним изборима одржаним 29. марта 2026.
Дванаест људи се обратило форензичарима SHARE-а у августу, након што су добили упозорење компаније Apple да су били мета напада. SHARE је сопственом анализом накнадно потврдио још две инфекције. Налазе су независно потврдиле две светске форензичке лабораторије — Citizen Lab при Универзитету у Торонту и Security Lab организације Amnesty International.
Три нивоа доказа које не треба мешати
Готово сво медијско извештавање своди случај на једну бројку. Аналитички, реч је о три јасно различита нивоа поузданости:
Први ниво — једна потврђена Pegasus инфекција. Citizen Lab је потврдио да је телефон члана студентског покрета заражен помоћу такозваног zero-click експлоита кроз апликацију iMessage — дакле даљински, без икакве радње или знања корисника. Бил Марчак, виши истраживач Citizen Lab-а, датирао је компромитацију уређаја у период од децембра 2025. до јануара 2026.
Други ниво — две потврђене инфекције новом верзијом NoviSpy-ја. Amnesty је потврдио нову варијанту овог андроид софтвера на телефону студента коме је уређај претходно био одузет приликом привођења на полицијско саслушање. Дона Ó Кербол, шеф Amnesty-јеве Security Lab, наводи да је нова верзија изграђена уз посебан труд да избегне детекцију безбедносних стручњака. Исти софтвер пронађен је и на другом уређају — након што су приватне Viber поруке с тог телефона прочитане уживо на Информеру.
Трећи ниво — једанаест Apple-ових обавештења о претњи. Ови уређаји третирају се као претпостављено заражени, али инфекција није форензички потврђена. То је показатељ високе поузданости да је особа била мета, а не доказ да је напад успео.
Ко год гради аргумент на овом случају — новинар, адвокат или аналитичар — мора држати ова три нивоа одвојено. Мешање их чини нападним на најслабијој тачки.
Да ли овај софтвер заиста могу да користе само полиција и обавештајне службе?
Ово је кључно питање и одговор је: у суштини да, али не у облику у ком се обично износи.
Правно-регулаторни аргумент
Свака продаја Pegasus-а захтева одобрење израелског Министарства одбране по Закону о контроли извоза наоружања из 2007. године. Извоз сајбер-надзорних система лиценцира Агенција за контролу извоза одбрамбених производа (DECA), и дозвољен је искључиво државним ентитетима, уз обавезујућу изјаву о крајњем кориснику коју потписује држава купац.
Овај механизам није формалност на папиру. Израел је демонстративно користио Pegasus лиценце као спољнополитичку валуту — одобравајући приступ потписницама Абрахамових споразума, а после убиства Џамала Кашогија вршећи притисак на NSO да обнови саудијски приступ који је компанија била прекинула. Управо то показује да је контрола стварна и активно примењивана.
Архитектонски аргумент
Како наводи и сам SHARE, Pegasus је софтвер војне класе, продаје се искључиво државама и државним органима, а његове кључне компоненте — контролни интерфејс и сервери на којима се складиште прикупљени подаци — по правилу се налазе у земљи клијента, у просторијама или седишту саме службе. Приватни купац такву инфраструктуру не може да подигне.
Економски аргумент
Реч је о вишемилионским годишњим лиценцама. То је, узгред, признала и сама Ана Брнабић када је рекла да би било „идиотски“ да неко ко користи софтвер вредан неколико милиона евра оставља такве трагове.
Где тврдња иде предалеко
Формулација „само државе могу то да користе“ спаја две различите тврдње:
- (А) Употреба Pegasus-а захтева приступ добијен преко лиценцираног државног клијента. → Висока поузданост. Не постоји ниједан документован изузетак.
- (Б) Дакле, то је урадила српска држава. → Не следи аутоматски. Трећа држава са лиценцом може циљати држављане Србије, што је Citizen Lab више пута документовао. Постоји и пут преко корумпираног службеника, документован у Мексику, где је државни приступ задаван у корист недржавних интереса.
Тачна формулација гласи: оператер је или државна служба, или је ту способност добио преко државне службе.
Сам Pegasus налаз, дакле, доказује да је у игри државни актер. Не доказује који.
Шта заиста затвара доказну рупу
Не Pegasus, него NoviSpy. Ово је аналитички најважнији обрт у целом случају — мање софистициран алат носи далеко јачу атрибуцију.
Инсталација новооткривеног софтвера захтева физички приступ уређају. Оба случаја из 2026. тичу се телефона који су били у државном притвору или чији се садржај потом појавио на провладином телевизијском каналу. Само један скуп актера имао је и једно и друго.
Постоји и документована основа из 2024. године. Amnesty је утврдио да је NoviSpy био конфигурисан да комуницира са адресом 195.178.51.251 — адресом која је још 2015. повезана са припадником БИА, у опсегу за који је Amnesty потврдио да је на њему хостован и јавни сајт БИА. Подаци у конфигурацији софтвера везани су за запосленог у БИА који је 2012. преписком контактирао компанију Hacking Team ради демонстрације производа. Растући кориснички идентификатор износио је 621 код једне жртве, а више од 640 месец дана касније — што сугерише више од двадесет инфекција у том раздобљу.
Формулација Amnesty-ја била је недвосмислена: форензички докази показују да је NoviSpy инсталиран док је полиција држала уређај новинара, а инфекција је зависила од алата класе Cellebrite UFED способног да откључа телефон. Amnesty NoviSpy приписује БИА са високом поузданошћу.
Норвешка донација и институционални неуспех
Вреди истаћи детаљ који се у извештавању губи: Cellebrite алат који је омогућио прикривене инсталације Министарство унутрашњих послова добило је на поклон од Норвешке.
Западна донација за јачање капацитета постала је омогућавајући слој домаћег политичког надзора. То није неуспех трансфера технологије — алат ради тачно онако како је пројектован. То је неуспех надзора над службама. Не постоји функционално тело које контролише техничка средства БИА, и све док не постоји, свака следећа донација носи исти ризик.
Одговор власти, процењен
Председница Скупштине Ана Брнабић изнела је две тврдње: да нема доказа да је софтвер заиста коришћен, и да би остављање трагова било идиотско с обзиром на цену.
Прва тврдња је оповргнута налазима из 2024. — Amnesty је повратио и дешифровао податке које је NoviSpy прикупио, укључујући снимке екрана мејлова, Signal и WhatsApp порука.
Друга је логичка грешка. Форензички трагови су последица напретка алата за детекцију код Apple-а и Google-а, а не непажње оператера. Сваки документован Pegasus случај у свету односи се на клијента који је платио исте те милионе.
Треба приметити и саму структуру изјаве: „нисмо чули ниједан доказ“ није исто што и „ми то нисмо урадили“.
Правни оквир
Према оцени Ане Тоскић Цветиновић из организације Партнери Србија, употреба оваквог софтвера без судског одобрења представља кривично дело по српским законима. Законик о кривичном поступку предвиђа тачно у којим ситуацијама је тајни надзор дозвољен и захтева образложену судску одлуку. Таква одлука, колико је познато, овде не постоји.
Кривичне пријаве поднете у случајевима из 2024. и даље чекају пред судом.
Индикатори за проверу
Да теза не би остала неоспорива — а неоспорива теза није аналитички корисна — хипотеза о државној одговорности била би озбиљно ослабљена ако би се појавило било шта од следећег:
- инсталација NoviSpy варијанте на уређају који никада није био у државном притвору;
- командно-контролна инфраструктура која се разрешава ван опсега српских државних адреса;
- Citizen Lab-ово повезивање Pegasus оператера са познатим страним кластером уместо домаћим;
- ваљани судски налози по ЗКП које би државни органи изнели у јавност.
Обрнуто, теза се додатно учвршћује ако се још садржаја са циљаних уређаја појави на провладиним медијима. Канал дистрибуције је најинформативнији појединачни индикатор који имамо — јер показује ко је примао производ.
Закључак
Најскупљи алат у овом случају није и најдоказнији. Pegasus утврђује да је у игри државни актер; NoviSpy утврђује који. Тај редослед треба држати на уму сваки пут када се о овоме говори — јер је најслабија тачка сваког јавног аргумента управо прескакање тог корака.
Извори
- SHARE Фондација, „Студенти и опозициони политичари на мети шпијунског софтвера“, 2. септембар 2026.
- Amnesty International, „A Digital Prison“: Surveillance and the Suppression of Civil Society in Serbia, децембар 2024.
- Citizen Lab, Универзитет у Торонту
- Reuters, 2. септембар 2026.
- TechCrunch, децембар 2024.
- European Western Balkans, 3. септембар 2026.
- EDRi (European Digital Rights)
