Как работает израильское шпионское ПО Pegasus и почему его трудно обнаружить

Израильская шпионская программа Pegasus способна незаметно проникать в смартфоны, получать доступ к переписке, фотографиям и геолокации, а также включать микрофон и камеру. Некоторые версии программы используют уязвимости, позволяющие заражать устройства без единого действия владельца. Исследования, опубликованные в 2026 году, подтвердили, что Pegasus продолжает применяться для скрытого наблюдения, несмотря на судебные разбирательства, международные ограничения и регулярные обновления мобильных операционных систем.

В сентябре 2026 года исследовательская лаборатория Citizen Lab сообщила о заражении iPhone участника студенческого движения в Сербии. Экспертиза показала, что вредоносное ПО было установлено через iMessage без необходимости открывать сообщение или переходить по ссылке. Следы заражения относились к декабрю 2025-го — январю 2026 года.

За несколько месяцев до этого Amnesty International представила наиболее подробное на тот момент исследование внутреннего устройства Pegasus, основанное в том числе на документах его разработчика, ставших доступными в ходе судебного процесса в США.

Что такое Pegasus и кто его разработал

Pegasus — коммерческое шпионское программное обеспечение, разработанное израильской компанией NSO Group, основанной в 2010 году. Оно предназначено для скрытого доступа к мобильным устройствам под управлением iOS и Android.

В отличие от обычных вредоносных программ, которые массово распространяются через заражённые приложения или мошеннические сайты, Pegasus создавался как инструмент целевого наблюдения. Его заказчиками, согласно заявлениям NSO Group, являются государственные структуры, прежде всего правоохранительные органы и спецслужбы.

Разработчик утверждает, что технология предназначена для расследования тяжких преступлений, борьбы с терроризмом и поиска опасных преступников. При этом многочисленные независимые расследования выявили применение Pegasus против журналистов, правозащитников, политиков и других представителей гражданского общества.

Pegasus нельзя свободно приобрести в магазине приложений. Речь идёт о специализированной системе, включающей программные средства заражения устройств, серверную инфраструктуру, инструменты управления и техническое сопровождение.

В октябре 2025 года NSO Group подтвердила, что контрольную долю компании приобрела группа американских инвесторов. При этом штаб-квартира и основные операции остались в Израиле, а деятельность компании продолжила регулироваться израильским законодательством.

Как Pegasus заражает смартфон

Главная особенность Pegasus заключается в использовании сложных методов проникновения, в том числе неизвестных на момент атаки уязвимостей программного обеспечения.

Такие уязвимости называют zero-day, или уязвимостями нулевого дня. Они позволяют атакующим использовать ошибки безопасности до того, как разработчик выпустит исправление.

Способы заражения Pegasus менялись по мере развития мобильных операционных систем.

Заражение через вредоносную ссылку

Первые широко известные атаки строились на отправке специально подготовленных ссылок через SMS или другие каналы связи. Владелец телефона получал сообщение с привлекательным или тревожным содержанием. При переходе по ссылке браузер открывал страницу, использующую уязвимости устройства.

Если атака срабатывала, вредоносный код мог получить расширенные привилегии и установить шпионские компоненты без обычного согласия пользователя. Важную роль в истории Pegasus сыграл случай 2016 года с правозащитником Ахмедом Мансуром из Объединённых Арабских Эмиратов. Ему отправили SMS, обещавшие раскрыть сведения о пытках заключённых. Вместо открытия ссылки Мансур передал сообщения исследователям.

Специалисты Citizen Lab и Lookout обнаружили цепочку из трёх ранее неизвестных уязвимостей iPhone, получившую название Trident. На экспериментальном устройстве исследователям удалось воспроизвести заражение. После передачи результатов Apple выпустила обновление безопасности iOS 9.3.5.

Заражение без нажатий на экран

Позднее Pegasus получил возможности так называемых zero-click-атак. Для заражения в таких случаях не требуется, чтобы пользователь открывал сообщение, отвечал на звонок или переходил по ссылке.

Уязвимость может находиться в компоненте операционной системы, автоматически обрабатывающем входящие данные. Например, приложение получает специально подготовленное сообщение, а ошибка в механизме обработки вложений позволяет выполнить вредоносный код.

Один из наиболее известных примеров — атака FORCEDENTRY, обнаруженная Citizen Lab в 2021 году. Она использовала уязвимость обработки изображений в экосистеме Apple и позволяла проникать в устройства через iMessage. Apple устранила соответствующую проблему выпуском обновлений безопасности.

В сентябре 2023 года исследователи обнаружили другую цепочку уязвимостей под названием BLASTPASS. Она позволяла атаковать iPhone с актуальной на тот момент iOS 16.6, используя специально подготовленные вложения, передаваемые через iMessage.

Появление таких атак не означает, что любой смартфон можно взломать в любой момент. Успех зависит от версии операционной системы, наличия подходящей уязвимости и возможностей конкретной версии Pegasus. Но эти случаи показывают, почему обычная осторожность пользователя не всегда обеспечивает защиту: при zero-click-заражении человек может вообще не взаимодействовать с вредоносным содержимым.

Что Pegasus может делать после заражения

После успешного проникновения Pegasus превращает смартфон в источник разведывательной информации. В зависимости от версии программы, конфигурации устройства и полученных привилегий оператор может получить доступ к различным категориям данных: переписке, журналам звонков, спискам контактов, фотографиям, электронной почте, документам, истории браузера и сведениям о местоположении.

Отдельную опасность представляет возможность удалённого использования датчиков телефона. Pegasus способен активировать микрофон и записывать окружающие разговоры. Аналогичным образом программа может использовать камеру устройства и получать снимки без обычного взаимодействия владельца с приложением.

Это означает, что источником информации становится не только содержимое смартфона, но и происходящее рядом с ним.

Почему шифрование WhatsApp и Signal не всегда защищает от Pegasus

Современные мессенджеры используют сквозное шифрование, которое защищает сообщения при передаче между собеседниками. Однако шифрование не предотвращает чтение информации непосредственно на заражённом устройстве.

После расшифровки сообщение становится доступным приложению и пользователю. Если шпионская программа получила достаточно широкие права в системе, она может извлекать содержимое переписки на этом этапе. Таким образом, Pegasus не обязательно взламывать криптографический алгоритм WhatsApp или Signal. Программа атакует конечное устройство, на котором сообщения уже доступны в открытом виде.

Это принципиальное различие между перехватом зашифрованного канала связи и компрометацией самого смартфона.

Что раскрыли внутренние документы NSO Group в 2026 году

16 июля 2026 года специалисты Amnesty International Security Lab опубликовали масштабное исследование архитектуры Pegasus. Оно опиралось на ранее не публиковавшиеся презентации, руководства и технические документы NSO Group, представленные в ходе разбирательства с WhatsApp и Meta* в американском суде.

Исследование показало, что Pegasus представляет собой значительно более сложную систему, чем отдельная программа, устанавливаемая на телефон.

Оператору достаточно номера телефона

Согласно изученной документации, работа начинается с создания дела в специальной панели управления Pegasus. Оператор добавляет предполагаемую цель, обычно указывая её телефонный номер. После этого система может проверять характеристики устройства: используется ли смартфон, какая операционная система установлена, к какой мобильной сети подключён абонент и какие сервисы доступны для атаки.

Затем система определяет подходящие способы заражения. В зависимости от возможностей конкретной конфигурации Pegasus предлагает скрытую атаку или вариант с использованием социальной инженерии. При успешном заражении информация поступает в аналитический интерфейс, где сортируется по категориям. Оператор может просматривать сообщения, звонки, файлы и другие собранные сведения.

Pegasus может получать доступ к облачным аккаунтам

Из опубликованных материалов следует, что система предусматривает работу с учётными данными, которые могут извлекаться из заражённого устройства. Исследователи обращают внимание на опасность компрометации паролей и токенов авторизации. Такие данные потенциально позволяют получить доступ к онлайн-аккаунтам даже после прекращения работы шпионской программы на телефоне.

В документации NSO Group также описывались возможности извлечения информации из облачных сервисов, включая историю сообщений, резервные копии и электронную почту. Это расширяет последствия взлома за пределы одного устройства.

NSO Group участвует в техническом обслуживании системы

Ещё один вывод исследования касается роли самого разработчика. NSO Group не просто передаёт заказчику готовую программу. Компания разрабатывает способы заражения, обеспечивает часть серверной инфраструктуры и поддерживает работоспособность системы.

Для сокрытия источника атак используются промежуточные серверы и специально созданные учётные записи. Внутренние документы описывают отдельные инфраструктурные компоненты для разных клиентов. При этом собранная информация, согласно документации NSO Group, хранится на стороне заказчика, а технические специалисты разработчика не должны иметь доступа к содержимому наблюдения.

По оценке Amnesty International, поддержание Pegasus в рабочем состоянии требует постоянного участия NSO Group, поскольку обновления iOS, Android и приложений регулярно делают прежние методы заражения неэффективными.

Скандал Pegasus Project и 50 тысяч телефонных номеров

Мировую известность Pegasus получил летом 2021 года после публикации международного журналистского расследования Pegasus Project. В работе участвовали более 80 журналистов из 17 редакций. Координацией занималась организация Forbidden Stories, а техническую экспертизу проводила Amnesty International.

В распоряжении расследователей оказался массив примерно из 50 тысяч телефонных номеров, рассматривавшихся как потенциальные цели наблюдения. Среди фигурировавших в материалах людей были политики, журналисты, государственные служащие, предприниматели и правозащитники.

Важно, что 50 тысяч номеров не означают 50 тысяч доказанных заражений. Наличие номера в базе не подтверждает, что телефон был успешно взломан. Для установления факта заражения необходима отдельная цифровая экспертиза устройства.

NSO Group оспаривала связь опубликованного массива данных со своей системой. Однако в исследовании июля 2026 года Amnesty International сопоставила часть записей с внутренними материалами NSO Group, раскрытыми в суде. В частности, исследователи обнаружили совпадения телефонных номеров и дат испытательных атак из демонстрационных систем Pegasus с записями, фигурировавшими в Pegasus Project.

По оценке Amnesty International, это стало дополнительным подтверждением достоверности существенной части материалов расследования, хотя и не превращает все 50 тысяч номеров в доказанные случаи заражения.

Кто становился жертвой Pegasus

Применение Pegasus документировалось в разных регионах мира, однако обстоятельства конкретных атак и степень доказанности причастности государственных структур различаются. В Мексике исследователи обнаружили попытки заражения телефонов журналистов, адвокатов и правозащитников. В отдельных случаях объектами атак становились люди, работавшие над расследованиями коррупции.

В Испании в 2022 году Citizen Lab опубликовала расследование CatalanGate. Исследователи установили, что как минимум 63 человека подверглись атакам или заражению Pegasus. Среди них находились политики, юристы и представители каталонского гражданского общества. При этом лаборатория не сделала окончательного вывода об организаторе всех атак.

В сентябре 2023 года Access Now и Citizen Lab сообщили о заражении iPhone Галины Тимченко (признана Минюстом иноагентом), сооснователя и руководителя издания «Медуза» (признано в России иностранным агентом и нежелательной организацией). По результатам экспертизы, атака произошла во время её пребывания в Берлине приблизительно 10 февраля 2023 года.

Исследователи подтвердили применение Pegasus, но не установили публично, кто именно заказал атаку. Эти случаи демонстрируют необходимость различать факт обнаружения шпионской программы и установление личности её оператора.

Судебные процессы против NSO Group

Одним из наиболее продолжительных юридических конфликтов вокруг Pegasus стало дело WhatsApp против NSO Group. В 2019 году WhatsApp сообщил об атаке, затронувшей около 1400 пользователей. Уязвимость в механизме звонков позволяла атакующим доставлять вредоносный код на устройства пользователей, в том числе без обычного ответа на звонок.

После расследования компания обратилась в американский суд. В мае 2025 года присяжные присудили WhatsApp около 167,7 миллиона долларов компенсационных и штрафных выплат. Однако позднее размер взыскания был существенно уменьшен.

Согласно окончательному решению федерального суда от 12 ноября 2025 года, общая сумма составила 4 447 190 долларов. Суд также вынес постоянный запрет, ограничивающий действия NSO Group в отношении WhatsApp и его пользователей.

Разбирательство на этом не закончилось: в 2026 году NSO Group продолжила оспаривать судебные решения в апелляционной инстанции. 8 июня 2026 года Meta* сообщила о выявлении и пресечении новых фишинговых попыток, которые компания связывает с NSO Group.

По заявлению Meta*, злоумышленники пытались убедить пользователей переходить по вредоносным ссылкам, а также создавали тестовые учётные записи и группы в WhatsApp. Компания объявила о намерении добиваться привлечения NSO к ответственности за предполагаемое нарушение судебного запрета. Это заявление является позицией Meta* и само по себе не означает, что суд уже подтвердил новое нарушение.

Кроме судебных процессов, NSO Group столкнулась с американскими экспортными ограничениями. В ноябре 2021 года Министерство торговли США внесло компанию в Entity List — перечень организаций, в отношении которых действуют специальные ограничения на поставки определённых американских технологий.

Основанием стали выводы американских властей о предоставлении шпионских средств иностранным правительствам, использовавшим их против журналистов, государственных служащих, активистов и других лиц.

Как обнаруживают Pegasus на смартфоне

Одна из главных сложностей расследования подобных атак заключается в том, что пользователь может не заметить никаких внешних признаков заражения. Программа не обязана отображать значок приложения, присылать уведомления или вызывать заметное замедление устройства. Повышенный расход батареи, нагрев и необычная сетевая активность также не являются надёжными доказательствами присутствия Pegasus.

Для обнаружения исследователи используют методы цифровой криминалистики. Они изучают системные журналы, историю сетевых подключений, записи о выполнении процессов и другие технические следы. В 2021 году Amnesty International выпустила открытый инструмент Mobile Verification Toolkit, известный как MVT. Он предназначен для анализа данных iOS и Android с целью обнаружения признаков возможной компрометации.

Однако MVT не является обычным антивирусом с кнопкой автоматической проверки. Для работы с ним необходимы технические знания, а отсутствие обнаруженных индикаторов не гарантирует, что смартфон никогда не подвергался атаке. Кроме того, свежие версии шпионского программного обеспечения могут оставлять следы, ещё не известные публичным инструментам проверки.

Поэтому при серьёзном подозрении на заражение рекомендуется обращаться к специалистам по цифровой безопасности, которые могут провести комплексную экспертизу.

Как защитить iPhone и Android от Pegasus

Полностью исключить риск сложной целевой атаки невозможно, но современные защитные механизмы способны существенно осложнить заражение. Самая важная мера — своевременное обновление операционной системы и установленных приложений. Многие ранее обнаруженные способы проникновения Pegasus переставали работать после выпуска исправлений безопасности.

Пользователям iPhone, которые могут стать объектами особо сложных атак, Apple предлагает режим Lockdown Mode — «Режим блокировки». Он ограничивает отдельные функции сообщений, веб-браузера и других сервисов, уменьшая количество потенциальных способов проникновения.

Именно этот режим, по оценке Citizen Lab, препятствовал работе некоторых известных цепочек заражения. На Android также следует устанавливать актуальные исправления безопасности, использовать официальные источники приложений и доступные механизмы усиленной защиты устройства.

Дополнительные меры включают двухфакторную аутентификацию, защиту учётных записей и отказ от открытия подозрительных ссылок и вложений. При этом такие действия защищают от разных категорий угроз, но не гарантируют предотвращение атаки с использованием неизвестной zero-click-уязвимости.

Что делать, если Apple предупредила о шпионской атаке

Apple направляет специальные уведомления пользователям, которые, по данным компании, могли стать объектами высокотехнологичных целевых атак. В августе 2026 года компания уточнила порядок распространения таких предупреждений. Проверить подлинность уведомления можно самостоятельно, войдя в свой аккаунт на сайте account.apple.com.

Apple предупреждает, что настоящие уведомления об угрозах не требуют переходить по подозрительным ссылкам, устанавливать приложения или сообщать пароль. Получение такого предупреждения не доказывает автоматически наличие Pegasus: компания не раскрывает конкретного предполагаемого разработчика шпионского ПО.

Если есть серьёзные основания подозревать заражение, желательно воспользоваться безопасным устройством для обращения за помощью, а сам подозрительный телефон передать на экспертизу. Сброс настроек до проведения исследования может уничтожить важные следы атаки.

Почему Pegasus остаётся опасным даже после многочисленных разоблачений

Случай Pegasus показывает, что безопасность цифровой связи зависит не только от стойкости шифрования, но и от защищённости устройств, на которых эта связь осуществляется. Даже надёжно зашифрованный мессенджер не может полностью защитить переписку, если злоумышленник получил контроль над операционной системой телефона.

При этом технологии целевого наблюдения постоянно меняются. Исправление одной уязвимости лишает атакующих конкретного инструмента, но не исключает появления новых методов. Pegasus также демонстрирует существование рынка, на котором сложные средства компьютерной разведки разрабатываются частными компаниями и предоставляются государственным заказчикам.

Основная проблема такого рынка заключается в сочетании высокой технической сложности, закрытости операций и ограниченных возможностей независимого контроля. Публикация внутренних материалов NSO Group в 2026 году позволила исследователям подробнее изучить структуру Pegasus и подтвердить ряд ранее установленных технических особенностей.

Но полная картина применения программы остаётся неизвестной. Публичные расследования отражают только те атаки, следы которых удалось обнаружить и проверить.

* Meta признана экстремистской организацией, её деятельность запрещена в РФ.