サイバー侵害で信用情報サービスが停止、CTOSは利益1,200万リンギ減を予想

10月中の復旧を前提、売上高1,600万リンギに影響の恐れ

CTOS Digital Bhdは、2026年9月23日に公表したサイバーセキュリティー上のインシデントにより、税引き後少数株主持分控除前利益が年間1,200万リンギ、売上高が1,600万リンギ減少するとの見通しを示した。10月13日の証券取引所への届け出で公表したこの試算は、影響を受けた信用情報サービスが10月第3週まで利用できないと想定している。

マレーシアの信用情報会社である同社によると、CTOS Scoreと中央信用情報システム（CCRIS）関連の報告書は引き続き一時的に利用できない。想定期間を超えて停止が1週間続くごとに、利益はさらに130万リンギ、売上高は250万リンギ減少する可能性がある。

今回の発表で、CTOSがインシデントを最初に公表した際に示した財務見通しは変わった。当時入手できた情報に基づく初期評価では、財務への重大な影響は想定していなかった。同社は現在、2026年12月31日までの会計年度の第3、第4四半期に、サービス停止と復旧費用の影響が及ぶと見込んでいる。

CTOSのその他のサービスは引き続き稼働している。影響を受けたサービスの再開は、暦上の日程だけで決まるのではなく、是正措置の完了と独立検証で問題がないことが条件となる。10月は独立レビューの完了目標であり、特定の日にサービスが再開するという無条件の約束ではない。

財務への影響の内訳

CTOSは、9月30日に終了した第3四半期について、税引き後少数株主持分控除前利益が500万リンギ、売上高が300万リンギ減少すると試算している。第4四半期の減少額は、利益が700万リンギ、売上高が1,300万リンギとなる見込みだ。

税引き後少数株主持分控除前利益は、PATAMIとも略され、税引き後の利益のうち会社の株主に帰属する分を示す。子会社の他の所有者に帰属する持分も考慮される。費用を差し引く前に生じた収入を示す売上高とは異なる指標だ。

予想される売上高への影響の81.25%は第4四半期分で、1,600万リンギのうち1,300万リンギに当たる。利益への影響では、第4四半期分が約58.3%で、1,200万リンギのうち700万リンギとなる。第3四半期は利益への影響が売上高への影響を上回っており、この試算を単純な売上減少として捉えることはできない。

CTOSによると、試算にはサービス停止の想定期間と、是正・復旧に伴う費用を織り込んだ。費用の個別内訳は公表していない。1,200万リンギは予想利益の減少額であり、年間赤字の予想ではない。

停止がさらに1週間続いた場合

週ごとの試算は、復旧時期が財務結果にどの程度影響するかを投資家が把握する目安となる。ほかの条件がすべて変わらないと仮定した場合、停止がさらに1週間続けば、年間の売上高への影響は1,600万リンギから1,850万リンギに、利益への影響は1,200万リンギから1,330万リンギに拡大する。

2週間延びれば、売上高への影響は2,100万リンギ、利益への影響は1,460万リンギとなる。これらはCTOSが公表した週ごとの金額を用いた計算であり、会社による追加の業績予想ではない。調査と復旧作業の進展に伴い、基礎となる試算が変わる可能性もある。

影響を受けたサービスを担う信用情報会社CTOSは、証券取引所への発表で試算の根拠と不確実性について次のように説明した。

これらの試算は暫定的なもので、サービス停止の想定期間と、是正・復旧作業に関連する費用を考慮しています。今後さらに情報が得られれば、試算を見直す可能性があります

発表には、影響を受けたサービスが利用できない期間と、追加情報によって費用の試算が変わるかという、二つの異なる不確実性が残されている。10月中にレビューを終えれば復旧に向けた節目となるが、それだけで最終的な財務への影響が確定するわけではない。

データへのアクセスについてCTOSが公表した内容

CTOSによると、同社のサイバーセキュリティー監視システムが、個人向け事業を支える特定の環境への不正アクセスを検知した。消費者情報の一部を限定的に含むファイルが閲覧された。同社は対応手順を発動し、影響を受けた環境を封じ込めたとしている。

フォレンジック調査のため、独立したインシデント対応チームを起用した。CTOSは関係当局にも通知したと説明した。9月時点の評価では、インシデントは特定された環境に限られ、ほかの環境には影響していないとしていた。

同社は、どのような個人情報が含まれていたのか、また影響を受けた消費者が何人に上るのかを明らかにしていない。このため、個人への影響を評価するのは難しい。データファイルへのアクセスは公表されたが、ここで取り上げた発表からは、その情報がコピー、公表、悪用されたかどうかは確認できない。

封じ込めと復旧の違いは重要だ。不正アクセスの封じ込めは差し迫ったセキュリティー上の問題に対処するものだが、サービスを再開するには是正作業を終え、その有効性を確認する必要がある。CTOSの後日の財務発表は、封じ込めたとされたインシデントでも、サービス停止が長期化し得ることを示している。

サービス再開は独立検証が条件

CTOSは是正措置とセキュリティー対策を実施し、その有効性を確認する独立レビューを進めていると説明した。レビューは2026年10月中の完了を目指す。同社は関係当局や独立した専門家との連携も続けている。

CTOSは発表で、サービス復旧の条件を次のように説明した。

当社は、是正措置の完了と独立検証で問題がないことを条件に、影響を受けたサービスをできるだけ早く再開することを目指しています

同社は具体的な復旧日を発表していない。財務試算では10月第3週を停止期間の想定終了時期としている一方、影響を受けたサービスの再開には、是正措置が問題なく完了し、独立検証を通過することが条件となる。この二つを同じものとして扱うべきではない。

利用できないと具体的に示されたサービスは、CTOS ScoreとCCRIS関連の報告書だ。CCRISは中央信用情報システムを指す。今回の発表が対象としているのは、同システムに関連するCTOSの報告書であり、CCRIS自体が侵害を受けたり、停止したりしたことを示すものではない。

9月の発表から10月の費用試算へ

一連の発表は、報告四半期の終了時期と次の四半期の始まりにまたがっている。9月23日の発表は第3四半期終了の1週間前で、10月13日の更新では第4四半期にも及ぶ影響が試算された。

• 2026年9月23日：CTOSは個人向け事業を支える環境への不正アクセスを公表し、限定的な消費者情報が閲覧されたと説明。独立したフォレンジック調査の実施を発表した。
• 2026年9月30日：第3四半期が終了。CTOSはその後、同四半期の売上高への影響を300万リンギ、利益への影響を500万リンギと試算した。
• 2026年10月13日：CTOSは年間の売上高が1,600万リンギ、利益が1,200万リンギ減少するとの試算を公表した。
• 2026年10月第3週：財務試算でサービス停止期間の想定終了時期とされた。
• 2026年10月：是正措置とセキュリティー対策を検証する独立レビューの完了目標時期。
• 2026年12月31日：試算の対象となる会計年度の末日。

評価の見直しが、当初の発表に故意の誤りがあったことを示すわけではない。一方で、サービス停止が続き、復旧に必要な要件が明らかになるにつれて、財務への影響に関する会社の見方が変わったことは示している。

過去の業績との比較、利益額には不一致

予想される利益減少額は、10月の発表に関する報道で示された2025年度の純利益1億440万リンギの約11.5%に相当する。売上高への影響1,600万リンギは、2025年度の売上高3億2,606万リンギの約4.9%に当たる。

前年度の利益額については報道に食い違いがある。2026年1月29日のCTOS通期決算に関する記事は、2025年度の純利益を1億440万リンギではなく、1億485万リンギとしている。1億485万リンギを使うと、1,200万リンギの影響は約11.4%となる。この差について説明はなく、両者を同じ数字として扱うべきではない。

別の決算報道では2025年度の純利益を1億486万リンギとしている一方、1月29日付の別の記事では1億460万リンギとしている。いずれも1億440万リンギと1億485万リンギの差について説明していない。2025年度決算の1月29日付資料は入手できる資料に含まれておらず、これらの報道数字から不一致を解消することはできない。

1月の決算記事によると、年間利益は営業費用の増加を受け、1億627万リンギから減少した。一方、売上高は3億485万リンギから3億2,606万リンギに増加した。第4四半期の利益は3,239万リンギから4,456万リンギに、売上高は7,681万リンギから8,798万リンギにそれぞれ増加した。

別の報道は、年間利益の減少について、営業費用の増加を主因にマレーシア事業の利益が7.3%減の9,699万リンギとなったことに加え、税負担の増加もグループ利益を押し下げたと伝えている。インドネシアとフィリピンで代替データを使った信用スコア事業を展開する海外部門の利益は48.1%増の687万リンギだった。年間の1株当たり利益は4.6センのままだった。

別の決算報道では、第4四半期の純利益を4,457万リンギ、売上高を8,798万リンギとしている。同四半期には、関連会社投資の売却益1,790万リンギが含まれていた。CTOSはExperian Information Services (Malaysia)の持ち分26%すべてを8,000万リンギで売却し、同社は2025年12月18日付で関連会社ではなくなった。この一時的な売却益は第4四半期の利益増加を考えるうえで参考となるが、入手できる報道からは年間純利益の数字が異なる理由は分からない。

9月のインシデント発生前、CTOSは2026年度上半期の利益が15.63%増え、3,560万リンギから4,116万リンギになったと発表していた。国内外の事業に支えられ、売上高は8.63%増の1億6,846万リンギとなり、前年同期の1億5,507万リンギから増加した。年間の利益への影響試算1,200万リンギは、上半期に記録した利益増加額556万リンギの2倍を超える。ただし、この比較は年間利益の予想ではない。

株価は最安値を更新、アナリスト評価は強気

CTOS株は10月13日に一時45.5センまで下落し、終値は過去最低の47.5センとなった。終値は0.5セン（1.04%）安で、時価総額は約10億5,000万リンギとなった。

直近3週間で時価総額は3億リンギ超減少し、年初来では40.08%下落した。この時価総額の減少は、試算された利益への影響とは別のものだ。CTOSにとって同額の現金支出が生じるという意味ではなく、事業に対する投資家の評価の変化を反映している。

アナリストの評価はおおむね強気を維持し、買い推奨が7件、据え置きが2件だった。今後12カ月の目標株価のコンセンサスは89センで、終値の47.5センを約87.4%上回った。目標株価は予測であり、達成が保証されるわけではない。また、これらの推奨が最後に見直された時期は示されていない。

Creador傘下のJade Vine Sdn Bhdが20.87%を保有する筆頭株主で、従業員積立基金（EPF）が20.68%で続いた。Aberdeen Group plcは14.89%、退職基金（設立法人）（KWAP）は9.04%を保有していた。公表されたこれらの持ち分を合計すると65.48%となる。

成長計画は復旧対応が試される局面に

CTOSは1月の決算発表で、2026年の成長に慎重ながらも楽観的な見方を示した。マレーシアとASEAN各国での提携や選別的な買収、人工知能（AI）と高度な分析技術への投資、技術インフラとセキュリティーの改善を計画に挙げた。

今回のインシデントを受け、より差し迫った事業上の課題は、独立検証を経て利用できない個人向けサービスを復旧させることだ。財務試算は復旧の遅れに伴うコストを数値で示す一方、影響を受けた消費者データの種類や件数が公表されていないため、データへの影響は明らかになっていない。

次に示されている節目は、10月中の独立レビュー完了だ。CTOSは重要な進展があれば発表するとしているが、最終的な復旧日や復旧費用の全容、財務への影響の最終評価は公表していない。

要点

• CTOSは2026年度の売上高が1,600万リンギ、利益が1,200万リンギ減少すると試算している。
• 試算では、影響を受けたサービスが10月第3週まで利用できないと想定している。
• 停止が1週間延びるごとに、売上高は250万リンギ、利益は130万リンギ減少する可能性がある。
• CTOS ScoreとCCRIS関連の報告書は引き続き利用できない一方、その他のサービスは稼働している。
• サービス再開には、是正措置の完了と独立検証で問題がないことが条件。レビューは10月中の完了を目指す。
• 同社は、関係する個人情報の種類や影響を受けた消費者の人数を明らかにしていない。
• CTOS株は10月13日に過去最低の47.5センで引けたが、アナリストの評価はおおむね強気を維持した。