CTOS Anggar Keuntungan Terjejas RM12 Juta, Perkhidmatan Kredit Masih Tidak Beroperasi Susulan Pencerobohan Siber

Andaian pemulihan pada Oktober meletakkan hasil RM16 juta dalam risiko

CTOS Digital Bhd menjangkakan insiden keselamatan siber yang didedahkan pada 23 September 2026 akan mengurangkan keuntungan tahunannya selepas cukai dan kepentingan minoriti sebanyak RM12 juta, serta hasil sebanyak RM16 juta. Anggaran itu, yang diumumkan dalam pemfailan di bursa saham pada 13 Oktober, mengandaikan perkhidmatan pelaporan kredit yang terjejas kekal tidak tersedia sehingga minggu ketiga Oktober.

Syarikat pelaporan kredit Malaysia itu berkata CTOS Score dan laporan berkaitan Sistem Maklumat Rujukan Kredit Pusat (CCRIS) masih tidak tersedia buat sementara waktu. Setiap minggu tambahan gangguan melebihi tempoh yang diandaikan boleh mengurangkan keuntungan sebanyak RM1.3 juta lagi dan hasil sebanyak RM2.5 juta.

Kemas kini itu mengubah gambaran kewangan yang dibentangkan ketika CTOS mula-mula mendedahkan insiden tersebut. Penilaian awalnya tidak menjangkakan kesan kewangan yang ketara berdasarkan maklumat yang tersedia ketika itu. Syarikat kini menjangkakan gangguan dan kos pemulihan akan menjejaskan suku ketiga dan keempat tahun kewangan yang berakhir pada 31 Disember 2026.

Perkhidmatan CTOS yang lain terus beroperasi. Pemulihan perkhidmatan yang terjejas bergantung pada penyelesaian kerja pemulihan dan pengesahan bebas yang memuaskan, bukan semata-mata pada kalendar. Oktober ialah sasaran untuk menyiapkan semakan bebas, bukannya janji tanpa syarat bahawa perkhidmatan akan disambung semula pada tarikh tertentu.

Pecahan kesan kewangan

CTOS menganggarkan pengurangan RM5 juta dalam keuntungan selepas cukai dan kepentingan minoriti bagi suku ketiga yang berakhir pada 30 September, berserta pengurangan hasil sebanyak RM3 juta. Bagi suku keempat, pengurangan yang dianggarkan ialah RM7 juta dalam keuntungan dan RM13 juta dalam hasil.

Keuntungan selepas cukai dan kepentingan minoriti, yang sering disingkatkan sebagai PATAMI, mengukur pendapatan yang boleh dikaitkan dengan pemegang saham syarikat selepas cukai dan bahagian milik pemilik lain dalam anak syarikat diambil kira. Ukuran ini berbeza daripada hasil, yang mengukur pendapatan yang dijana sebelum perbelanjaan ditolak.

Suku keempat merangkumi 81.25% daripada kesan hasil yang dijangka, dikira daripada RM13 juta daripada RM16 juta, dan kira-kira 58.3% daripada kesan keuntungan, berdasarkan RM7 juta daripada RM12 juta. Kesan terhadap keuntungan pada suku ketiga melebihi kesan terhadap hasil, menunjukkan anggaran itu tidak boleh ditafsirkan sekadar sebagai kehilangan jualan.

CTOS berkata pengiraannya merangkumi jangkaan tempoh gangguan perkhidmatan dan kos berkaitan kerja pemulihan serta pemulihan semula perkhidmatan. Syarikat tidak mendedahkan pecahan berasingan bagi kos tersebut. Anggaran RM12 juta ialah pengurangan dalam jangkaan pendapatan, bukannya ramalan bahawa syarikat akan melaporkan kerugian tahunan.

Kesan jika gangguan berlanjutan seminggu lagi

Anggaran mingguan memberi pelabur gambaran tentang sejauh mana hasil kewangan sensitif terhadap masa pemulihan. Gangguan selama seminggu lagi akan meningkatkan anggaran kesan tahunan terhadap hasil daripada RM16 juta kepada RM18.5 juta dan kesan terhadap keuntungan daripada RM12 juta kepada RM13.3 juta, dengan andaian semua faktor lain kekal tidak berubah.

Dua minggu tambahan akan menjadikan angka itu RM21 juta bagi hasil dan RM14.6 juta bagi keuntungan. Ini ialah pengiraan berdasarkan angka mingguan yang dinyatakan CTOS, bukannya ramalan tambahan daripada syarikat. Anggaran asas mungkin berubah apabila siasatan dan kerja pemulihan berjalan.

CTOS, syarikat pelaporan kredit yang bertanggungjawab terhadap perkhidmatan terjejas, menjelaskan asas dan ketidaktentuan anggarannya dalam kenyataan kepada bursa saham:

Anggaran ini bersifat awal dan mengambil kira jangkaan tempoh gangguan perkhidmatan, bersama-sama kos yang berkaitan dengan usaha pemulihan dan pemulihan semula. Anggaran ini masih tertakluk kepada semakan apabila maklumat lanjut tersedia,

Kenyataan itu menunjukkan dua perkara yang masih tidak pasti: tempoh perkhidmatan terjejas tidak tersedia dan sama ada maklumat lanjut akan mengubah anggaran kos. Menyiapkan semakan pada Oktober akan mencapai satu sasaran pemulihan, tetapi dengan sendirinya tidak menentukan kesan kewangan akhir.

Maklumat CTOS tentang akses kepada data

CTOS berkata sistem pemantauan keselamatan sibernya mengesan akses tanpa kebenaran kepada persekitaran tertentu yang menyokong perniagaan pengguna syarikat. Beberapa fail yang mengandungi sebahagian kecil maklumat pengguna telah diakses. Syarikat mengaktifkan protokol tindak balasnya dan berkata persekitaran yang terjejas telah dikawal.

Satu pasukan tindak balas insiden bebas dilantik untuk menjalankan siasatan forensik. CTOS juga berkata pihak berkuasa berkaitan telah dimaklumkan. Penilaian syarikat pada September mendapati insiden itu terhad kepada persekitaran yang dikenal pasti dan persekitaran lain tidak terjejas.

Syarikat tidak menyatakan maklumat peribadi yang terlibat atau jumlah pengguna yang terjejas. Ini mengehadkan keupayaan untuk menilai kesan terhadap individu. Akses kepada fail data telah didedahkan, tetapi pengumuman yang dihuraikan di sini tidak mengesahkan sama ada maklumat itu disalin, diterbitkan atau disalahgunakan.

Perbezaan antara pembendungan dengan pemulihan semula perkhidmatan adalah penting. Membendung akses tanpa kebenaran menangani insiden keselamatan serta-merta; mengembalikan perkhidmatan kepada operasi memerlukan kerja pembaikan diselesaikan dan keberkesanannya diperiksa. Kemas kini kewangan CTOS yang terkemudian menunjukkan bahawa insiden yang dikatakan telah dibendung masih boleh menyebabkan gangguan perkhidmatan berpanjangan.

Pemeriksaan bebas menentukan penyambungan semula perkhidmatan

CTOS berkata langkah pemulihan dan keselamatan telah dilaksanakan, manakala semakan bebas sedang dijalankan untuk mengesahkan keberkesanannya. Semakan itu disasarkan selesai pada Oktober 2026. Syarikat terus bekerjasama dengan pihak berkuasa berkaitan dan pakar bebas.

Dalam kenyataannya, CTOS menerangkan syarat yang menentukan pemulihan perkhidmatan:

Syarikat sedang berusaha untuk menyambung semula perkhidmatan yang terjejas secepat mungkin, tertakluk pada penyelesaian kerja pemulihan dan pengesahan bebas yang memuaskan,

Syarikat belum mengumumkan tarikh pemulihan yang tepat. Minggu ketiga Oktober ialah andaian yang digunakan dalam anggaran kewangannya, manakala kerja pemulihan yang memuaskan dan pengesahan bebas ialah syarat untuk menyambung semula perkhidmatan terjejas. Kedua-dua perkara itu tidak harus dianggap sama.

CTOS Score dan laporan berkaitan CCRIS ialah perkhidmatan yang dikenal pasti secara khusus sebagai tidak tersedia. CCRIS ialah singkatan bagi Sistem Maklumat Rujukan Kredit Pusat. Pendedahan itu berkaitan laporan CTOS yang terhubung dengan sistem tersebut; ia tidak membuktikan bahawa CCRIS sendiri mengalami pencerobohan atau berhenti beroperasi.

Daripada pendedahan September kepada anggaran kos Oktober

Pengumuman itu merentasi penghujung satu suku pelaporan dan permulaan suku berikutnya. Pendedahan pada 23 September dibuat seminggu sebelum suku ketiga berakhir, manakala kemas kini pada 13 Oktober memperincikan jangkaan kesan yang berlanjutan ke suku keempat.

• 23 September 2026: CTOS mendedahkan akses tanpa kebenaran kepada persekitaran yang menyokong perniagaan penggunanya, berkata sebahagian kecil maklumat pengguna telah diakses dan mengumumkan siasatan forensik bebas.
• 30 September 2026: Suku ketiga berakhir. CTOS kemudiannya menganggarkan kesan sebanyak RM3 juta terhadap hasil dan RM5 juta terhadap keuntungan bagi suku itu.
• 13 Oktober 2026: CTOS mengumumkan pengurangan tahunan yang dianggarkan sebanyak RM16 juta dalam hasil dan RM12 juta dalam keuntungan.
• Minggu ketiga Oktober 2026: Tarikh akhir andaian bagi tempoh perkhidmatan tidak tersedia yang digunakan dalam anggaran kewangan.
• Oktober 2026: Tempoh sasaran untuk menyiapkan semakan bebas bagi mengesahkan langkah pemulihan dan keselamatan.
• 31 Disember 2026: Akhir tahun kewangan yang diliputi oleh anggaran tersebut.

Penilaian yang disemak semula itu tidak membuktikan bahawa kenyataan awal sengaja dibuat secara tidak tepat. Namun, ia menunjukkan pemahaman syarikat tentang kesan kewangan berubah apabila gangguan berlanjutan dan keperluan pemulihan semakin jelas.

Keuntungan terdahulu memberi gambaran skala, tetapi terdapat percanggahan

Pengurangan keuntungan yang dianggarkan bersamaan kira-kira 11.5% daripada keuntungan bersih FY2025 sebanyak RM104.4 juta yang disebut dalam laporan mengenai kemas kini Oktober. Kesan hasil RM16 juta bersamaan kira-kira 4.9% daripada hasil FY2025 sebanyak RM326.06 juta.

Laporan berbeza tentang angka keuntungan tahun sebelumnya. Laporan keputusan tahunan CTOS pada 29 Januari 2026 menyatakan keuntungan bersih FY2025 sebanyak RM104.85 juta, bukannya RM104.4 juta. Jika RM104.85 juta digunakan, kesan RM12 juta yang dianggarkan bersamaan kira-kira 11.4%. Tiada penjelasan diberikan tentang perbezaan itu, jadi angka-angka tersebut tidak harus dianggap sama secara senyap.

Laporan keputusan tambahan menyatakan keuntungan bersih FY2025 sebanyak RM104.86 juta, manakala satu lagi laporan bertarikh 29 Januari menyebut RM104.6 juta. Kedua-duanya tidak menjelaskan perbezaan antara RM104.4 juta dengan RM104.85 juta. Dokumen keputusan FY2025 pada 29 Januari tidak disertakan dalam bahan yang tersedia, maka angka yang dilaporkan ini tidak menyelesaikan percanggahan tersebut.

Laporan keputusan Januari menyatakan keuntungan tahunan merosot daripada RM106.27 juta akibat peningkatan perbelanjaan operasi, sementara hasil meningkat daripada RM304.85 juta kepada RM326.06 juta. Keuntungan suku keempat meningkat daripada RM32.39 juta kepada RM44.56 juta, manakala hasil naik daripada RM76.81 juta kepada RM87.98 juta.

Laporan tambahan mengaitkan kemerosotan keuntungan tahunan dengan penurunan 7.3% dalam keuntungan operasi Malaysia kepada RM96.99 juta, terutamanya disebabkan perbelanjaan operasi yang lebih tinggi. Perbelanjaan cukai yang meningkat turut menekan keuntungan kumpulan. Keuntungan segmen antarabangsa meningkat 48.1% kepada RM6.87 juta; segmen itu merangkumi perniagaan skor kredit berasaskan data alternatif di Indonesia dan Filipina. Pendapatan sesaham tahunan kekal pada 4.6 sen.

Laporan tambahan menyatakan keuntungan bersih suku keempat sebanyak RM44.57 juta dan hasil sebanyak RM87.98 juta. Suku itu merangkumi keuntungan RM17.9 juta daripada pelupusan pelaburan dalam syarikat bersekutu: CTOS menjual keseluruhan pegangan 26% dalam Experian Information Services (Malaysia) pada harga RM80 juta, dan perniagaan itu tidak lagi menjadi syarikat bersekutu pada 18 Disember 2025. Keuntungan sekali itu memberi konteks tambahan kepada peningkatan keuntungan suku terakhir, tetapi laporan yang tersedia tidak menjelaskan sebab angka keuntungan bersih tahunan berbeza.

Sebelum insiden September, CTOS melaporkan pertumbuhan keuntungan FY2026 separuh pertama sebanyak 15.63%, kepada RM41.16 juta daripada RM35.6 juta. Hasil meningkat 8.63%, kepada RM168.46 juta daripada RM155.07 juta, disokong oleh operasi domestik dan antarabangsa. Kesan tahunan RM12 juta yang dianggarkan terhadap keuntungan adalah lebih dua kali ganda peningkatan keuntungan RM5.56 juta yang dicatatkan pada separuh pertama, namun perbandingan itu bukan ramalan pendapatan tahunan.

Saham mencecah paras terendah rekod meskipun penarafan positif

Saham CTOS jatuh ke paras terendah harian 45.5 sen pada 13 Oktober sebelum ditutup pada paras terendah rekod 47.5 sen. Harga penutup merosot setengah sen, atau 1.04%, menjadikan nilai syarikat kira-kira RM1.05 bilion.

Lebih RM300 juta dalam permodalan pasaran telah terhapus dalam tempoh tiga minggu sebelumnya, dan saham itu turun 40.08% sejak awal tahun. Penurunan nilai pasaran itu berbeza daripada kesan keuntungan yang dianggarkan: ia mencerminkan perubahan penilaian pelabur terhadap perniagaan, bukannya perbelanjaan tunai yang setara bagi CTOS.

Saranan penganalisis kekal secara umumnya positif, dengan tujuh saranan beli dan dua saranan pegang. Harga sasaran konsensus bagi 12 bulan akan datang ialah 89 sen, kira-kira 87.4% melebihi harga penutup 47.5 sen. Harga sasaran ialah anggaran, bukannya hasil yang dijamin, dan tiada maklumat diberikan tentang bila saranan tersebut kali terakhir disemak.

Creador, melalui Jade Vine Sdn Bhd, merupakan pemegang saham terbesar dengan 20.87%, diikuti rapat oleh Kumpulan Wang Simpanan Pekerja pada 20.68%. Aberdeen Group plc memegang 14.89%, manakala Kumpulan Wang Persaraan (Diperbadankan), yang dikenali sebagai KWAP, memegang 9.04%. Jumlah pegangan yang didedahkan itu ialah 65.48%.

Rancangan pertumbuhan kini berdepan ujian pemulihan

Semasa pengumuman keputusan Januari, CTOS menyatakan keyakinan yang berhati-hati terhadap pertumbuhan pada 2026. Syarikat menggariskan rancangan untuk menjalin kerjasama dan melaksanakan pengambilalihan terpilih di Malaysia dan ASEAN, melabur dalam kecerdasan buatan dan analitik lanjutan, serta menambah baik infrastruktur teknologi dan keselamatan.

Insiden itu mewujudkan keutamaan operasi yang lebih mendesak: memulihkan perkhidmatan pengguna yang tidak tersedia selepas pemeriksaan bebas. Anggaran kewangan meletakkan kos kelewatan dalam bentuk angka, manakala kategori dan jumlah rekod pengguna yang terjejas tetapi tidak didedahkan menyebabkan kesan terhadap data masih belum dipastikan.

Pencapaian seterusnya yang dinyatakan ialah penyiapan semakan bebas pada Oktober. CTOS telah berjanji untuk mengumumkan perkembangan penting, tetapi belum memberikan tarikh pemulihan akhir, pecahan penuh kos pemulihan atau penilaian akhir kesan kewangan.

Perkara Utama

• CTOS menganggarkan hasil FY2026 akan berkurangan sebanyak RM16 juta dan keuntungan sebanyak RM12 juta.
• Anggaran itu mengandaikan perkhidmatan terjejas kekal tidak tersedia sehingga minggu ketiga Oktober.
• Setiap minggu tambahan boleh mengurangkan hasil sebanyak RM2.5 juta dan keuntungan sebanyak RM1.3 juta.
• CTOS Score dan laporan berkaitan CCRIS masih tidak tersedia; perkhidmatan lain terus beroperasi.
• Pemulihan bergantung pada kerja pemulihan yang memuaskan dan pengesahan bebas, dengan semakan disasarkan selesai pada Oktober.
• Syarikat tidak menyatakan data peribadi yang terlibat atau jumlah pengguna yang terjejas.
• Saham ditutup pada paras terendah rekod 47.5 sen pada 13 Oktober, sementara penarafan penganalisis kekal secara umumnya positif.