CTOS Perkirakan Laba Terpukul RM12 Juta akibat Serangan Siber yang Membuat Layanan Kredit Tetap Offline

Asumsi pemulihan pada Oktober menempatkan pendapatan RM16 juta dalam risiko

CTOS Digital Bhd memperkirakan insiden keamanan siber yang diungkapkan pada 23 September 2026 akan mengurangi laba tahunan setelah pajak dan kepentingan nonpengendali sebesar RM12 juta serta pendapatan sebesar RM16 juta. Estimasi yang diumumkan dalam pengajuan ke bursa pada 13 Oktober itu mengasumsikan layanan pelaporan kredit yang terdampak tetap tidak tersedia hingga pekan ketiga Oktober.

Perusahaan pelaporan kredit Malaysia itu mengatakan CTOS Score dan laporan terkait Central Credit Reference Information System (CCRIS) masih untuk sementara tidak tersedia. Setiap tambahan satu pekan gangguan setelah periode yang diasumsikan dapat mengurangi laba sebesar RM1,3 juta lagi dan pendapatan sebesar RM2,5 juta.

Pembaruan ini mengubah gambaran keuangan yang disampaikan saat CTOS pertama kali mengungkapkan insiden tersebut. Berdasarkan informasi yang tersedia saat itu, penilaian awal perusahaan tidak memperkirakan dampak keuangan yang material. Kini perusahaan memperkirakan gangguan dan biaya pemulihan akan berdampak pada kuartal ketiga dan keempat tahun buku yang berakhir pada 31 Desember 2026.

Layanan CTOS lainnya tetap beroperasi. Pemulihan layanan yang terdampak bergantung pada penyelesaian langkah remediasi dan validasi independen yang memuaskan, bukan semata-mata pada kalender. Oktober merupakan target penyelesaian tinjauan independen, bukan janji tanpa syarat bahwa layanan akan kembali beroperasi pada tanggal tertentu.

Pembagian dampak keuangan

CTOS memperkirakan laba setelah pajak dan kepentingan nonpengendali untuk kuartal ketiga yang berakhir pada 30 September akan berkurang RM5 juta, sementara pendapatan turun RM3 juta. Untuk kuartal keempat, estimasi penurunan laba mencapai RM7 juta dan pendapatan RM13 juta.

Laba setelah pajak dan kepentingan nonpengendali, yang sering disingkat PATAMI, mengukur laba yang menjadi hak pemegang saham perusahaan setelah pajak dan dikurangi bagian milik pemilik lain di entitas anak. Angka ini berbeda dari pendapatan, yang mengukur pemasukan sebelum dikurangi biaya.

Kuartal keempat mencakup 81,25% dari perkiraan dampak terhadap pendapatan, dihitung dari RM13 juta dibandingkan RM16 juta, dan sekitar 58,3% dari dampak terhadap laba, berdasarkan RM7 juta dibandingkan RM12 juta. Dampak terhadap laba kuartal ketiga lebih besar daripada dampaknya terhadap pendapatan, menunjukkan bahwa estimasi tersebut tidak bisa dibaca begitu saja sebagai penjualan yang hilang.

CTOS mengatakan perhitungannya mencakup perkiraan durasi gangguan layanan serta biaya remediasi dan pemulihan. Perusahaan belum mengungkap rincian terpisah untuk biaya tersebut. Estimasi RM12 juta merupakan pengurangan dari laba yang diperkirakan, bukan proyeksi bahwa perusahaan akan membukukan kerugian tahunan.

Dampak jika gangguan berlangsung satu pekan lagi

Estimasi per pekan memberi investor gambaran tentang seberapa sensitif hasil keuangan terhadap waktu pemulihan. Gangguan selama satu pekan lagi akan menaikkan perkiraan dampak tahunan terhadap pendapatan dari RM16 juta menjadi RM18,5 juta dan dampak terhadap laba dari RM12 juta menjadi RM13,3 juta, dengan asumsi semua faktor lain tidak berubah.

Dua pekan tambahan akan membuat angka tersebut menjadi RM21 juta untuk pendapatan dan RM14,6 juta untuk laba. Angka-angka ini merupakan hasil perhitungan menggunakan nominal per pekan yang disampaikan CTOS, bukan proyeksi tambahan dari perusahaan. Estimasi yang mendasarinya dapat berubah seiring kemajuan investigasi dan pemulihan.

CTOS, perusahaan pelaporan kredit yang bertanggung jawab atas layanan terdampak, menjelaskan dasar dan ketidakpastian estimasinya dalam pernyataan kepada bursa:

Estimasi ini bersifat awal dan memperhitungkan perkiraan durasi gangguan layanan, beserta biaya yang terkait dengan upaya remediasi dan pemulihan. Estimasi tersebut masih dapat ditinjau seiring tersedianya informasi lebih lanjut,

Pernyataan itu menyisakan dua ketidakpastian yang berbeda: berapa lama layanan terdampak akan tetap tidak tersedia dan apakah informasi lebih lanjut akan mengubah estimasi biaya. Penyelesaian tinjauan pada Oktober akan memenuhi satu tonggak pemulihan, tetapi hal itu sendiri belum memastikan dampak keuangan final.

Pengungkapan CTOS tentang akses data

CTOS mengatakan sistem pemantauan keamanan sibernya mendeteksi akses tanpa izin ke lingkungan tertentu yang mendukung bisnis konsumen perusahaan. Sejumlah berkas yang berisi sebagian kecil informasi konsumen telah diakses. Perusahaan mengaktifkan protokol responsnya dan mengatakan telah mengisolasi lingkungan terdampak.

Tim respons insiden independen ditugaskan untuk melakukan investigasi forensik. CTOS juga mengatakan telah memberi tahu otoritas terkait. Penilaian perusahaan pada September menyebut insiden terbatas pada lingkungan yang teridentifikasi dan lingkungan lain tidak terdampak.

Perusahaan belum merinci informasi pribadi apa yang terlibat atau berapa banyak konsumen yang terdampak. Hal ini membatasi kemampuan untuk menilai konsekuensi bagi individu. Akses ke berkas data telah diungkapkan, tetapi pengumuman yang dibahas di sini tidak memastikan apakah informasi tersebut disalin, dipublikasikan, atau disalahgunakan.

Perbedaan antara isolasi dan pemulihan penting. Mengisolasi akses tanpa izin menangani insiden keamanan secara langsung; mengembalikan layanan ke operasi normal mengharuskan penyelesaian pekerjaan remediasi dan pemeriksaan efektivitasnya. Pembaruan keuangan CTOS berikutnya menunjukkan bahwa insiden yang disebut telah diisolasi tetap dapat menyebabkan gangguan layanan berkepanjangan.

Pemeriksaan independen menentukan pemulihan layanan

CTOS mengatakan telah menerapkan langkah remediasi dan keamanan, sementara tinjauan independen tengah dilakukan untuk memvalidasi efektivitasnya. Tinjauan tersebut ditargetkan selesai pada Oktober 2026. Perusahaan terus bekerja sama dengan otoritas terkait dan para spesialis independen.

Dalam pernyataannya, CTOS menjelaskan syarat yang menentukan pemulihan layanan:

Perusahaan berupaya memulihkan layanan terdampak sesegera mungkin, dengan syarat langkah remediasi dan validasi independen diselesaikan secara memuaskan,

Perusahaan belum mengumumkan tanggal pasti pemulihan. Pekan ketiga Oktober merupakan asumsi yang digunakan dalam estimasi keuangannya, sedangkan remediasi yang memuaskan dan validasi independen menjadi syarat untuk mengaktifkan kembali layanan terdampak. Kedua hal itu tidak boleh dianggap sama.

CTOS Score dan laporan terkait CCRIS merupakan layanan yang secara khusus disebut tidak tersedia. CCRIS adalah singkatan dari Central Credit Reference Information System. Pengungkapan tersebut menyangkut laporan CTOS yang terhubung dengan sistem itu; hal ini tidak membuktikan bahwa CCRIS sendiri mengalami kebocoran atau berhenti beroperasi.

Dari pengungkapan September ke estimasi biaya Oktober

Pengumuman tersebut mencakup akhir satu kuartal pelaporan dan awal kuartal berikutnya. Pengungkapan pada 23 September disampaikan sepekan sebelum kuartal ketiga berakhir, sementara pembaruan pada 13 Oktober mengukur perkiraan dampak yang berlanjut hingga kuartal keempat.

• 23 September 2026: CTOS mengungkap akses tanpa izin ke lingkungan yang mendukung bisnis konsumennya, mengatakan sebagian kecil informasi konsumen telah diakses, dan mengumumkan investigasi forensik independen.
• 30 September 2026: Kuartal ketiga berakhir. CTOS kemudian memperkirakan dampak sebesar RM3 juta terhadap pendapatan dan RM5 juta terhadap laba untuk kuartal tersebut.
• 13 Oktober 2026: CTOS mengumumkan perkiraan penurunan tahunan sebesar RM16 juta pada pendapatan dan RM12 juta pada laba.
• Pekan ketiga Oktober 2026: Batas waktu asumsi ketidaktersediaan layanan yang digunakan dalam estimasi keuangan.
• Oktober 2026: Target penyelesaian tinjauan independen untuk memvalidasi langkah remediasi dan keamanan.
• 31 Desember 2026: Akhir tahun buku yang dicakup oleh estimasi.

Penilaian yang direvisi tidak membuktikan bahwa pernyataan awal sengaja dibuat tidak akurat. Namun, perubahan itu menunjukkan pemahaman perusahaan mengenai konsekuensi keuangan berkembang seiring berlanjutnya gangguan dan semakin jelasnya kebutuhan pemulihan.

Laba sebelumnya memberi gambaran skala, tetapi terdapat perbedaan angka

Perkiraan penurunan laba setara dengan sekitar 11,5% dari laba bersih FY2025 sebesar RM104,4 juta yang disebut dalam laporan mengenai pembaruan Oktober. Dampak pendapatan sebesar RM16 juta setara dengan sekitar 4,9% dari pendapatan FY2025 sebesar RM326,06 juta.

Laporan mengenai laba tahun sebelumnya berbeda-beda. Laporan hasil tahunan CTOS pada 29 Januari 2026 menyebut laba bersih FY2025 sebesar RM104,85 juta, bukan RM104,4 juta. Jika menggunakan angka RM104,85 juta, perkiraan dampak sebesar RM12 juta setara dengan sekitar 11,4%. Tidak ada penjelasan mengenai perbedaan tersebut, sehingga angka-angka itu tidak semestinya dianggap sama begitu saja.

Laporan hasil tambahan menyebut laba bersih FY2025 sebesar RM104,86 juta, sementara laporan lain tertanggal 29 Januari mencantumkan RM104,6 juta. Keduanya tidak menjelaskan perbedaan antara RM104,4 juta dan RM104,85 juta. Dokumen hasil FY2025 tertanggal 29 Januari tidak tersedia dalam materi yang ada, sehingga angka-angka yang dilaporkan ini tidak menyelesaikan perbedaan tersebut.

Laporan hasil Januari menyebut laba tahunan turun dari RM106,27 juta akibat kenaikan beban operasional, sementara pendapatan naik dari RM304,85 juta menjadi RM326,06 juta. Laba kuartal keempat meningkat dari RM32,39 juta menjadi RM44,56 juta, dan pendapatan naik dari RM76,81 juta menjadi RM87,98 juta.

Laporan tambahan mengaitkan penurunan laba tahunan dengan turunnya laba operasi di Malaysia sebesar 7,3% menjadi RM96,99 juta, terutama akibat beban operasional yang lebih tinggi, sementara kenaikan beban pajak juga menekan laba grup. Laba segmen internasional naik 48,1% menjadi RM6,87 juta; segmen ini mencakup bisnis skor kredit berbasis data alternatif di Indonesia dan Filipina. Laba per saham tahunan tetap sebesar 4,6 sen.

Laporan tambahan menyebut laba bersih kuartal keempat sebesar RM44,57 juta dan pendapatan sebesar RM87,98 juta. Kuartal tersebut mencakup keuntungan RM17,9 juta dari pelepasan investasi pada entitas asosiasi: CTOS menjual seluruh kepemilikan 26% sahamnya di Experian Information Services (Malaysia) seharga RM80 juta, dan perusahaan tersebut tidak lagi menjadi entitas asosiasi pada 18 Desember 2025. Keuntungan tidak berulang ini memberi konteks tambahan atas kenaikan laba kuartal terakhir, tetapi laporan yang tersedia tidak menjelaskan mengapa angka laba bersih tahunan berbeda.

Sebelum insiden September, CTOS melaporkan pertumbuhan laba FY2026 semester pertama sebesar 15,63%, menjadi RM41,16 juta dari RM35,6 juta. Pendapatan meningkat 8,63%, menjadi RM168,46 juta dari RM155,07 juta, didukung oleh operasi domestik dan internasional. Dampak tahunan terhadap laba yang diperkirakan sebesar RM12 juta lebih dari dua kali kenaikan laba RM5,56 juta yang tercatat pada semester pertama, meskipun perbandingan itu bukan proyeksi laba tahunan.

Saham menyentuh rekor terendah meski rekomendasi tetap positif

Saham CTOS turun ke level terendah intraday 45,5 sen pada 13 Oktober sebelum ditutup pada rekor terendah 47,5 sen. Penurunan harga penutupan sebesar setengah sen, atau 1,04%, menjadikan nilai perusahaan sekitar RM1,05 miliar.

Kapitalisasi pasar lebih dari RM300 juta telah tergerus dalam tiga pekan sebelumnya, dan saham turun 40,08% sejak awal tahun. Penurunan nilai pasar itu terpisah dari perkiraan dampak terhadap laba: angka tersebut mencerminkan perubahan penilaian investor terhadap bisnis, bukan pengeluaran kas perusahaan CTOS dengan nilai setara.

Rekomendasi analis secara umum tetap positif, dengan tujuh rekomendasi beli dan dua rekomendasi tahan. Harga target konsensus untuk 12 bulan ke depan sebesar 89 sen, sekitar 87,4% di atas harga penutupan 47,5 sen. Harga target merupakan estimasi, bukan hasil yang dijamin, dan tidak disebutkan kapan rekomendasi tersebut terakhir diperbarui.

Creador, melalui Jade Vine Sdn Bhd, merupakan pemegang saham terbesar dengan 20,87%, diikuti oleh Employees Provident Fund dengan 20,68%. Aberdeen Group plc memegang 14,89%, dan Kumpulan Wang Persaraan (Diperbadankan), yang dikenal sebagai KWAP, memegang 9,04%. Secara gabungan, kepemilikan saham yang diungkapkan tersebut mencapai 65,48%.

Rencana pertumbuhan kini menghadapi ujian pemulihan

Dalam pengumuman hasil pada Januari, CTOS menyampaikan optimisme yang hati-hati terhadap pertumbuhan pada 2026. Perusahaan memaparkan rencana kemitraan dan akuisisi selektif di Malaysia dan ASEAN, investasi pada kecerdasan buatan dan analitik canggih, serta peningkatan infrastruktur teknologi dan keamanan.

Insiden ini menghadirkan prioritas operasional yang lebih mendesak: memulihkan layanan konsumen yang tidak tersedia setelah pemeriksaan independen. Estimasi keuangan mengukur biaya keterlambatan, sementara kategori dan jumlah data konsumen terdampak yang belum diungkap membuat konsekuensi terhadap data belum jelas.

Tonggak berikutnya yang disebutkan adalah penyelesaian tinjauan independen pada Oktober. CTOS telah berkomitmen untuk mengumumkan perkembangan material, tetapi belum memberikan tanggal final pemulihan, rincian lengkap biaya pemulihan, atau penilaian final atas dampak keuangan.

Poin-Poin Utama

• CTOS memperkirakan pendapatan FY2026 akan turun RM16 juta dan laba RM12 juta.
• Estimasi tersebut mengasumsikan layanan terdampak tetap tidak tersedia hingga pekan ketiga Oktober.
• Setiap pekan tambahan dapat mengurangi pendapatan RM2,5 juta dan laba RM1,3 juta.
• CTOS Score dan laporan terkait CCRIS masih tidak tersedia; layanan lainnya tetap beroperasi.
• Pemulihan bergantung pada remediasi yang memuaskan dan validasi independen, dengan tinjauan ditargetkan selesai pada Oktober.
• Perusahaan belum merinci data pribadi yang terlibat atau jumlah konsumen terdampak.
• Saham ditutup pada rekor terendah 47,5 sen pada 13 Oktober, sementara rekomendasi analis secara umum tetap positif.