CTOS estima que el ciberataque reducirá sus ganancias en RM12 millones y mantiene fuera de servicio sus servicios de crédito

La previsión de restauración en octubre pone en riesgo RM16 millones de ingresos

CTOS Digital Bhd prevé que el incidente de ciberseguridad comunicado el 23 de septiembre de 2026 reduzca su beneficio anual después de impuestos e intereses minoritarios en RM12 millones y sus ingresos en RM16 millones. Las estimaciones, anunciadas en una comunicación a la bolsa el 13 de octubre, parten de que los servicios de información crediticia afectados seguirán sin estar disponibles hasta la tercera semana de octubre.

La empresa malasia de información crediticia dijo que CTOS Score y los informes relacionados con el Sistema Central de Información de Referencias de Crédito (CCRIS) seguían temporalmente fuera de servicio. Cada semana adicional de interrupción más allá del periodo previsto podría reducir el beneficio en otros RM1,3 millones y los ingresos en RM2,5 millones.

La actualización modifica el panorama financiero presentado cuando CTOS comunicó inicialmente el incidente. Según la información disponible entonces, su primera evaluación no preveía un impacto financiero significativo. Ahora la empresa espera que la interrupción y los costos de recuperación afecten tanto al tercer como al cuarto trimestre del ejercicio financiero que termina el 31 de diciembre de 2026.

Los demás servicios de CTOS siguen operativos. La restauración de los servicios afectados depende de que se completen satisfactoriamente las medidas correctivas y la validación independiente, no solo del calendario. Octubre es el plazo previsto para completar las revisiones independientes, no una promesa incondicional de que los servicios se reanudarán en una fecha concreta.

Cómo se distribuye el impacto financiero

CTOS estima una reducción de RM5 millones en el beneficio después de impuestos e intereses minoritarios del tercer trimestre, que terminó el 30 de septiembre, junto con una disminución de RM3 millones en los ingresos. Para el cuarto trimestre, las reducciones estimadas son de RM7 millones en el beneficio y RM13 millones en los ingresos.

El beneficio después de impuestos e intereses minoritarios, que suele abreviarse como PATAMI, mide las ganancias atribuibles a los accionistas de la empresa después de impuestos y de descontar la parte que corresponde a otros propietarios de las filiales. Es distinto de los ingresos, que miden el dinero generado antes de deducir los gastos.

El cuarto trimestre concentra el 81,25% del impacto previsto en los ingresos, calculado a partir de RM13 millones de un total de RM16 millones, y cerca del 58,3% del impacto en el beneficio, sobre la base de RM7 millones de un total de RM12 millones. El impacto en el beneficio del tercer trimestre supera el impacto en los ingresos, lo que muestra que las estimaciones no pueden interpretarse simplemente como ventas perdidas.

CTOS dijo que sus cálculos incluyen la duración prevista de la interrupción del servicio y los costos asociados a las medidas correctivas y la restauración. No ha publicado un desglose separado de esos costos. La estimación de RM12 millones representa una reducción de las ganancias previstas, no una previsión de que la empresa registre pérdidas anuales.

Qué supondría otra semana de interrupción

Las estimaciones semanales permiten a los inversionistas medir hasta qué punto el resultado financiero depende del momento de la restauración. Una semana adicional de interrupción elevaría el impacto anual estimado en los ingresos de RM16 millones a RM18,5 millones y el impacto en el beneficio de RM12 millones a RM13,3 millones, suponiendo que todos los demás factores se mantengan sin cambios.

Dos semanas adicionales llevarían esas cifras a RM21 millones en ingresos y RM14,6 millones en beneficio. Se trata de cálculos basados en los importes semanales indicados por CTOS, no de nuevas previsiones de la empresa. Las estimaciones subyacentes podrían cambiar a medida que avancen la investigación y las tareas de recuperación.

CTOS, la empresa de información crediticia responsable de los servicios afectados, explicó el fundamento y la incertidumbre de sus estimaciones en su comunicado a la bolsa:

«Estas estimaciones son preliminares y tienen en cuenta la duración prevista de la interrupción del servicio, junto con los costos asociados a las tareas de corrección y restauración. Las estimaciones siguen sujetas a revisión a medida que se disponga de más información»,

El comunicado deja dos incertidumbres distintas: cuánto tiempo seguirán sin estar disponibles los servicios afectados y si la información adicional modificará los costos estimados. Completar las revisiones en octubre cumpliría un hito de recuperación, pero no determinaría por sí solo el impacto financiero definitivo.

Qué comunicó CTOS sobre el acceso a los datos

CTOS dijo que sus sistemas de supervisión de ciberseguridad detectaron un acceso no autorizado a un entorno específico que presta apoyo a su negocio de consumo. Se accedió a determinados archivos que contenían un subconjunto limitado de información de consumidores. La empresa activó sus protocolos de respuesta y dijo que había contenido el incidente en el entorno afectado.

Se contrató a un equipo independiente de respuesta a incidentes para llevar a cabo una investigación forense. CTOS también dijo que notificó a las autoridades pertinentes. En su evaluación de septiembre, concluyó que el incidente se limitaba al entorno identificado y que no había afectado a otros entornos.

La empresa no ha especificado qué datos personales estaban implicados ni cuántos consumidores resultaron afectados. Esto limita la posibilidad de evaluar las consecuencias para las personas. Se ha comunicado el acceso a archivos de datos, pero los anuncios aquí descritos no establecen si esa información fue copiada, publicada o utilizada de forma indebida.

Es importante distinguir entre contener el incidente y restaurar los servicios. Contener el acceso no autorizado aborda el incidente de seguridad inmediato; reanudar los servicios requiere completar las tareas correctivas y comprobar su eficacia. La actualización financiera posterior de CTOS muestra que un incidente descrito como contenido aún puede provocar una interrupción prolongada del servicio.

Las revisiones independientes condicionan la reanudación de los servicios

CTOS dijo que ha aplicado medidas correctivas y de seguridad, y que se están llevando a cabo revisiones independientes para validar su eficacia. Está previsto que esas revisiones concluyan en octubre de 2026. La empresa sigue trabajando con las autoridades pertinentes y especialistas independientes.

En su comunicado, CTOS describió las condiciones para restaurar los servicios:

«La empresa trabaja para reanudar los servicios afectados lo antes posible, sujeto a la finalización satisfactoria de las medidas correctivas y de la validación independiente»,

La empresa no ha anunciado una fecha exacta para la restauración. La tercera semana de octubre es la fecha que se utiliza en las estimaciones financieras, mientras que la finalización satisfactoria de las medidas correctivas y la validación independiente son las condiciones para reanudar los servicios afectados. Estos dos puntos no deben confundirse.

CTOS Score y los informes relacionados con CCRIS son los servicios que se han identificado específicamente como no disponibles. CCRIS son las siglas en inglés de Sistema Central de Información de Referencias de Crédito. La comunicación se refiere a los informes de CTOS relacionados con ese sistema; no demuestra que el propio CCRIS haya sufrido una filtración o haya dejado de funcionar.

De la comunicación de septiembre a la estimación de costos de octubre

Los anuncios abarcan el final de un trimestre de presentación de resultados y el comienzo de otro. La comunicación del 23 de septiembre se produjo una semana antes del cierre del tercer trimestre, mientras que la actualización del 13 de octubre cuantificó un impacto previsto que se extiende al cuarto trimestre.

• 23 de septiembre de 2026: CTOS comunicó un acceso no autorizado a un entorno que presta apoyo a su negocio de consumo, dijo que se había accedido a una cantidad limitada de información de consumidores y anunció una investigación forense independiente.
• 30 de septiembre de 2026: terminó el tercer trimestre. Posteriormente, CTOS estimó para ese trimestre un impacto de RM3 millones en los ingresos y de RM5 millones en el beneficio.
• 13 de octubre de 2026: CTOS anunció reducciones anuales estimadas de RM16 millones en los ingresos y RM12 millones en el beneficio.
• Tercera semana de octubre de 2026: fecha prevista hasta la que los servicios permanecerían fuera de servicio, según las estimaciones financieras.
• Octubre de 2026: periodo previsto para completar las revisiones independientes que validarán las medidas correctivas y de seguridad.
• 31 de diciembre de 2026: fin del ejercicio financiero al que corresponden las estimaciones.

La evaluación revisada no demuestra que la declaración inicial fuera deliberadamente inexacta. Sí muestra que la comprensión de la empresa sobre las consecuencias financieras cambió a medida que se prolongó la interrupción y se aclararon los requisitos de recuperación.

Los resultados anteriores dan contexto, aunque hay una discrepancia

La reducción estimada del beneficio equivale a cerca del 11,5% de los RM104,4 millones de beneficio neto del ejercicio fiscal 2025 citados en la información publicada sobre la actualización de octubre. El impacto de RM16 millones en los ingresos equivale a cerca del 4,9% de los ingresos de RM326,06 millones del ejercicio fiscal 2025.

Las informaciones difieren sobre la cifra de beneficio del año anterior. La noticia del 29 de enero de 2026 sobre los resultados anuales de CTOS situó el beneficio neto del ejercicio fiscal 2025 en RM104,85 millones, en vez de RM104,4 millones. Si se utilizan RM104,85 millones, el impacto estimado de RM12 millones sería de cerca del 11,4%. No se explica la diferencia, por lo que las cifras no deben considerarse idénticas sin aclaración.

Otras informaciones sobre los resultados sitúan el beneficio neto del ejercicio fiscal 2025 en RM104,86 millones, mientras que otra noticia del 29 de enero lo cifra en RM104,6 millones. Ninguna explica la diferencia entre RM104,4 millones y RM104,85 millones. El documento de resultados de CTOS del ejercicio fiscal 2025, publicado el 29 de enero, no figura entre los materiales disponibles, por lo que estas cifras publicadas no resuelven la discrepancia.

La información sobre los resultados de enero indicó que el beneficio anual cayó desde RM106,27 millones debido al aumento de los gastos operativos, mientras que los ingresos subieron de RM304,85 millones a RM326,06 millones. El beneficio del cuarto trimestre aumentó de RM32,39 millones a RM44,56 millones, y los ingresos subieron de RM76,81 millones a RM87,98 millones.

Otras informaciones atribuyen el descenso del beneficio anual a una caída del 7,3% del beneficio de las operaciones en Malasia, hasta RM96,99 millones, principalmente por el aumento de los gastos operativos; el incremento de los gastos fiscales también redujo el beneficio del grupo. El beneficio del segmento internacional aumentó un 48,1%, hasta RM6,87 millones. Ese segmento incluye negocios de puntuación crediticia basados en datos alternativos en Indonesia y Filipinas. Las ganancias anuales por acción se mantuvieron en 4,6 sen.

Otras informaciones sitúan el beneficio neto del cuarto trimestre en RM44,57 millones y los ingresos en RM87,98 millones. En ese trimestre se registró una ganancia de RM17,9 millones por la venta de una inversión en una empresa asociada: CTOS vendió toda su participación del 26% en Experian Information Services (Malaysia) por RM80 millones, y la empresa dejó de ser una asociada el 18 de diciembre de 2025. Esa ganancia extraordinaria aporta contexto al aumento del beneficio del último trimestre, pero la información disponible no explica por qué difieren las cifras del beneficio neto anual.

Antes del incidente de septiembre, CTOS comunicó un crecimiento del beneficio del 15,63% en el primer semestre del ejercicio fiscal 2026, hasta RM41,16 millones frente a RM35,6 millones. Los ingresos aumentaron un 8,63%, hasta RM168,46 millones frente a RM155,07 millones, con el respaldo de las operaciones nacionales e internacionales. El impacto anual estimado de RM12 millones en el beneficio supera en más del doble el aumento de RM5,56 millones registrado en ese primer semestre, aunque esa comparación no es una previsión del beneficio anual.

Las acciones marcan un mínimo histórico pese a las recomendaciones favorables

Las acciones de CTOS cayeron hasta un mínimo intradía de 45,5 sen el 13 de octubre y cerraron en un mínimo histórico de 47,5 sen. La caída al cierre fue de medio sen, o un 1,04%, lo que dejó el valor de la empresa en unos RM1.050 millones.

En las tres semanas anteriores se habían evaporado más de RM300 millones de capitalización bursátil, y la acción había caído un 40,08% desde comienzos de año. Ese descenso del valor de mercado es distinto del impacto estimado en las ganancias: refleja cómo cambia la valoración que los inversionistas asignan a la empresa, no un gasto equivalente en efectivo para CTOS.

Las recomendaciones de los analistas siguieron siendo, en general, favorables, con siete recomendaciones de compra y dos de mantener. El precio objetivo de consenso para los próximos 12 meses era de 89 sen, cerca de un 87,4% por encima del precio de cierre de 47,5 sen. Un precio objetivo es una estimación, no un resultado garantizado, y no se indica cuándo se revisaron por última vez esas recomendaciones.

Creador, a través de Jade Vine Sdn Bhd, era el mayor accionista, con un 20,87%, seguido de cerca por el Fondo de Previsión de los Empleados, con un 20,68%. Aberdeen Group plc tenía un 14,89%, y Kumpulan Wang Persaraan (Diperbadankan), conocido como KWAP, un 9,04%. En conjunto, esas participaciones declaradas suman el 65,48%.

Los planes de crecimiento afrontan ahora el reto de la recuperación

En la presentación de resultados de enero, CTOS expresó un optimismo prudente sobre el crecimiento en 2026. Expuso planes para establecer alianzas y realizar adquisiciones selectivas en Malasia y la ASEAN, invertir en inteligencia artificial y análisis avanzado de datos, y mejorar la infraestructura tecnológica y la seguridad.

El incidente plantea una prioridad operativa más inmediata: restablecer los servicios de consumo no disponibles tras las revisiones independientes. Las estimaciones financieras cuantifican el costo de los retrasos, mientras que la falta de información sobre las categorías y el número de registros de consumidores afectados deja sin resolver las consecuencias para los datos.

El próximo hito anunciado es la conclusión de las revisiones independientes en octubre. CTOS se ha comprometido a comunicar novedades importantes, pero no ha dado una fecha definitiva para la restauración, un desglose completo de los costos de recuperación ni una evaluación final del impacto financiero.

Puntos clave

• CTOS estima que los ingresos del ejercicio fiscal 2026 se reducirán en RM16 millones y el beneficio, en RM12 millones.
• Las estimaciones parten de que los servicios afectados seguirán sin estar disponibles hasta la tercera semana de octubre.
• Cada semana adicional podría reducir los ingresos en RM2,5 millones y el beneficio en RM1,3 millones.
• CTOS Score y los informes relacionados con CCRIS siguen fuera de servicio; los demás servicios continúan operativos.
• La restauración depende de que se completen satisfactoriamente las medidas correctivas y la validación independiente; está previsto que las revisiones concluyan en octubre.
• La empresa no ha especificado qué datos personales estaban implicados ni cuántos consumidores resultaron afectados.
• Las acciones cerraron en un mínimo histórico de 47,5 sen el 13 de octubre, mientras las recomendaciones de los analistas siguieron siendo, en general, favorables.