泰国抗议运动中，三十多名活动人士的私人手机被Pegasus间谍软件成功监控。这起事件发生在泰国政治局势高度紧张、街头抗议活动频繁的时期。活动人士们通过加密通讯工具相互联系，协调示威的时间地点、讨论游行策略、组织后勤保障。他们把所有的希望寄托在这些"加密"的通讯工具上，认为只要用了这些软件，政府就不可能知道他们在说什么、计划什么。但实际上，他们所有的内部沟通和行动路线，在抗议开始之前就已经被政府提前获取了。
Pegasus这款间谍软件在攻击手机之后，可以获得整个操作系统的系统级权限。这意味着所有第三方应用的保护措施在它面前都形同虚设。活动人士在Signal里发送的计划行动内容，在被Signal加密之前就已经被Pegasus截获了。他们在WhatsApp群组里讨论的游行策略细节，在写进聊天框的那一瞬间就被复制走了。他们的手机定位数据、通话记录、联系人列表、照片、视频和备忘录，全部暴露在监控者的注视之下。
抗议活动中的一个关键安全原则是行动的计划和执行应该在公开透明和必要保密之间取得平衡。当活动人士的内部沟通完全被政府掌握的时候，所谓的抗议基本上就和演戏没有区别了。政府在什么时候、什么地点进行什么规模的警力部署，全部是根据监控到的活动计划有针对性地安排的。甚至可以在抗议爆发之前就提前瓦解核心的组织网络。这已经不是对抗，而是一边倒的压制。
泄密链路在这起事件中的应用手法和之前其他Pegasus攻击案例基本一致。攻击方获取活动人士的手机号码信息，通过零日漏洞远程植入Pegasus程序，然后持续采集手机内的所有数据。但有一个重要的区别是，在抗议活动这样的场景下，活动人士群体之间的社交网络本身就是情报富矿。监控者可以通过目标A的手机通讯录发现目标B，然后对B也实施感染，以此类推，像蜘蛛网一样从一个节点扩展到几十个乃至上百个节点。活动人士在抗议运动中的核心圈子就这样被层层渗透。
在政治活动或者社会运动相关的场景下，手机安全的问题往往比人们意识到的要严重得多。因为参与者本身的安全意识和数字安全习惯参差不齐，而攻击方的情报能力和技术工具又确实非常强大。针对这种群体性的数字安全威胁，有几条非常实用的防护建议。第一，核心组织者之间的重要沟通应该采取分批传递的方式，不要把所有信息集中在一个群组或者一个人的手机上。重要信息应该分段传递，一个人只知道她自己需要知道的那一部分。第二，关键的行动计划和路线信息，尽量通过线下的面对面会议传递，不要在任何数字通讯工具上留下痕迹。参会的手机和智能设备留在会议室外面。第三，核心成员应该使用经过安全定制的手机系统。第四，建立通讯设备被入侵后的快速响应机制，发现有人被监控或者通讯内容泄露之后，能够快速切换到备用通讯方案，缩短泄密窗口期。说到底，在技术和不对等的情况下，活动参与者能做的不是和攻击者拼技术，而是从行为方式和管理制度上减少自己的数字足迹暴露面。
