Die SHARE Foundation begann ihre Untersuchung, nachdem sich zwölf Personen mit Apple-Warnmeldungen an sie gewandt hatten. Am Ende stand die Zahl von mindestens 14 Zielpersonen: ein Parlamentsabgeordneter, ein lokaler Oppositionspolitiker und Studierende, die sich an den Protesten gegen die zunehmend autoritäre Regierungspartei beteiligen.
Das Citizen Lab bestätigte eine Pegasus-Infektion auf dem Telefon eines Studenten im Zeitraum Dezember 2025 bis Januar 2026. Amnesty International, das die Ergebnisse der SHARE Foundation im Rahmen einer Gegenprüfung bewertete, identifizierte in mindestens zwei Fällen die Android-Spyware NoviSpy. Die neue Variante sei „offenbar aktualisiert worden, um einer Entdeckung zu entgehen", sagte Donncha Ó Cearbhaill, Leiter des Security Lab von Amnesty International, gegenüber Recorded Future News.
Digitale Überwachung sei „in Verbindung mit exzessiver Gewalt gegen Protestierende, willkürlichen Festnahmen, haltlosen Straf- und Ordnungswidrigkeitsverfahren sowie bösartigen Verleumdungskampagnen" ein weiteres Element eines umfassenderen Musters systematischer Repression kritischer Stimmen, so Ó Cearbhaill. Solche Angriffe häuften sich in politisch aufgeladenen Phasen; er äußerte wachsende Sorge um die Sicherheit von Studierenden und Zivilgesellschaft im Vorfeld der vorgezogenen Parlamentswahl, die voraussichtlich im Oktober stattfindet.
Der serbische Geheimdienst BIA wies die Anschuldigungen zurück und nannte sie „nichts weiter als banale Effekthascherei". Der Inhalt der Vorwürfe zeige die wahren Absichten der beteiligten Personen und Organisationen, nämlich im Interesse bestimmter ausländischer Nachrichtendienste und Druckgruppen zu handeln.
Serbien war bereits zuvor mit beiden Werkzeugen aufgefallen. Im März 2025 berichtete Amnesty International, dass zwei Investigativjournalisten im Land mit Pegasus angegriffen wurden. Einen Monat zuvor meldete die Organisation, dass Cellebrite seine Zusammenarbeit mit Serbien beendet hatte – nach einem Amnesty-Bericht, wonach Polizeikräfte beschlagnahmte Telefone von Dissidenten und Journalisten mit Cellebrite-Software aufbrachen, ohne je nach Passwörtern zu fragen, und anschließend NoviSpy installierten.
Darin liegt der zentrale Unterschied: NoviSpy erfordert physischen Zugriff auf das Gerät, Pegasus dringt ohne Zutun des Opfers und ohne Beschlagnahme ein. Beide können Fotos, Kontakte, Nachrichten und gespeicherte Dateien auslesen.
John Scott-Railton vom Citizen Lab, der an der Pegasus-Bestätigung beteiligt war, erklärte, der Hersteller NSO Group ermögliche autoritären Regierungen weiterhin solche Angriffe. „Vor zehn Jahren fanden wir das erste Ziel von Pegasus, den Demokratie-Aktivisten Ahmed Mansour – er sitzt bis heute im Gefängnis", sagte er. „Heute sind es serbische Studierende, die für Demokratie kämpfen." NSO habe ein Jahrzehnt lang Reformen versprochen, Lobbyarbeit betrieben und Eigentümerstrukturen umgebaut, doch Produkt und Missbrauch seien unverändert. Ein NSO-Sprecher reagierte nicht auf eine Anfrage.
Der Student Ognjen Rašić, dessen Telefon noch untersucht wird, geht von einem Pegasus-Angriff aus, da er nie in Polizeigewahrsam war. Spyware könne auch Gespräche in der Nähe des Geräts über das Mikrofon mithören. „Die Spyware ist ein starkes Indiz dafür, dass unsere Regierung große Angst vor uns hat", sagte er.
Der oppositionelle Abgeordnete Radomir Lazović vom Grün-Linken Front machte öffentlich, dass auch sein Telefon zu den 14 Zielen gehörte; die forensische Prüfung eines möglichen Erfolgs läuft laut SHARE Foundation noch. Lazović hatte im März die Europäische Kommission zum Handeln gegen Präsident Aleksandar Vučić aufgefordert. Werde die Opposition überwacht und abgehört, sei „wirklich schwer, in Serbien überhaupt eine sinnvolle Oppositionsarbeit zu leisten".