L'attacco del 21 dicembre 2025 avrebbe lasciato il Department of Trade and Industry con registrazioni recuperabili solo fino al 23 gennaio 2025. La COA avrebbe fornito copie per ricostruire i conti, ma i dati nazionali sulle ransomware non misurano l'impatto sul DTI.
Nel rapporto annuale di audit 2025, la Commission on Audit, COA, descrive una divisione contabile costretta a reinserire transazioni mancanti dopo un attacco ransomware. Il Department of Trade and Industry, DTI, avrebbe chiesto ai revisori copie dei documenti finanziari che aveva già consegnato loro. Secondo il resoconto, l'agenzia non poteva accedere ai backup e non disponeva di registrazioni recuperabili. Le informazioni indipendenti disponibili non includono il documento primario della COA né una conferma ufficiale del DTI sull'incidente.
Il lavoro di ricostruzione avrebbe ritardato la preparazione dei rendiconti finanziari. Il resoconto indica il 23 gennaio 2025 come limite dei dati recuperati, una data che precede l'attacco del 21 dicembre 2025. Va quindi letta come l'ultima data coperta dalle registrazioni disponibili, non come il giorno del ripristino.
Backup inaccessibili e archivi incompleti
L'attacco sarebbe avvenuto il 21 dicembre 2025. Il DTI avrebbe recuperato i dati soltanto fino al 23 gennaio 2025; per il periodo successivo avrebbe dovuto ricostruire le registrazioni. Secondo il resoconto, la banca dati contabile si trovava su un server condiviso. I backup cloud erano inaccessibili e l'agenzia non aveva copie alternative offline o fisiche.
Il problema andava oltre i sistemi informatici. Senza copie indipendenti di scritture e mandati di pagamento, l'agenzia dipendeva dagli archivi dei revisori. Mancavano anche i giustificativi. Per rendere i backup affidabili, le copie devono restare separate dai sistemi operativi e dalle credenziali che potrebbero essere compromesse. Il ripristino va inoltre verificato periodicamente: avere una copia nel cloud non dimostra che sia recuperabile.
I dati nazionali indicano una maggiore esposizione, ma non provano l'origine né l'entità dell'incidente del DTI. Check Point ha registrato 26 rivendicazioni pubbliche di ransomware contro organizzazioni nelle Filippine nel 2024-2025. Tra gennaio e agosto 2026 ne ha contate 31, di cui nove in agosto. Sono rivendicazioni pubbliche, non una misura dei danni verificati né dati specifici sul DTI.
Tra gennaio e agosto 2026 sono state registrate 31 rivendicazioni pubbliche di ransomware contro organizzazioni nelle Filippine, incluse nove nel solo mese di agosto.
Il rapporto sul panorama delle minacce segnala anche dieci gruppi ransomware comparsi per la prima volta nel dataset locale del 2026. Il dato mostra un ampliamento del panorama osservato, ma non collega quei gruppi all'episodio attribuito al DTI. Una rivendicazione pubblicata da un gruppo criminale, da sola, non conferma in modo indipendente l'attacco né la sua portata.
La divisione contabile avrebbe dichiarato di non aver conservato copie delle scritture né dei mandati necessari a ricostruire le operazioni. Mancavano anche i documenti di supporto. Come motivi, avrebbe citato lo spazio insufficiente per gli archivi cartacei e la carenza di personale per digitalizzarli. La COA avrebbe respinto la giustificazione, richiamando l'obbligo di conservare la documentazione a tutela dei fondi pubblici e della rendicontazione.
La COA avrebbe fornito i documenti per la ricostruzione
Senza copie proprie, il DTI avrebbe dovuto affidarsi agli archivi dei revisori. La dipendenza avrebbe rallentato il lavoro e reso più complicata la verifica delle operazioni. Il caso si inserisce nel dibattito sulla protezione dei servizi pubblici, già affrontato in un approfondimento sugli attacchi. Tra le misure annunciate dall'amministrazione Marcos, il DICT dovrebbe collaborare con il DTI. Il piano prevede anche il coinvolgimento del Department of Science and Technology, del mondo accademico e dei partner industriali nella definizione di politiche e linee guida. Le procedure di sicurezza per i sistemi di rete sono descritte nel piano di cybersicurezza.
La COA avrebbe raccomandato di spostare la banca dati su un server separato. Ha inoltre chiesto backup regolari in un ambiente sicuro, con una copia conservata offline, per esempio su un disco esterno. L'agenzia avrebbe dovuto mantenere copie cartacee o elettroniche dei documenti contabili, invece di affidarsi agli archivi dell'organo di audit. La direzione del DTI avrebbe accettato le raccomandazioni. Sul piano operativo, separare i backup dovrebbe includere controlli sugli accessi e prove di ripristino: una copia offline o isolata riduce alcuni rischi, ma non dimostra che i dati siano integri e utilizzabili.
Secondo il resoconto, la COA avrebbe giudicato correttamente rappresentati i rendiconti finanziari al 31 dicembre 2025. Non avrebbe rilevato errori o omissioni materiali nei saldi riportati. Le informazioni indipendenti disponibili non confermano un successivo provvedimento ufficiale della COA né il completamento del recupero dei dati contabili. Non confermano neppure l'attribuzione di responsabilità a specifici funzionari.
