危机沟通

CTOS Digital Bhd（CTOS）10月13日向马来西亚交易所披露，9月公布的网络安全事件预计将使公司2026财年营业额减少约RM1,600万，税后及少数股东权益后净利（PATAMI）减少约RM1,200万。这项估算假设部分信用报告服务停摆至10月第三周；若停服每多延长一周，营业额将再少约RM250万、净利再少约RM130万。 从“无重大财务影响”到逐季估算 CTOS在9月23日首次披露，其支援消费者业务的某一系统环境遭未经授权存取，部分含有限消费者资料的档案被读取。公司当时表示已隔离受影响环境、委任独立事故应变团队进行鉴识调查，并已通报相关当局，同时称事件对公司“没有重大财务影响”。 三周后的最新文件给出了具体数字：第三季营业额影响约RM300万、净利影响约RM500万；第四季营业额影响约RM1,300万、净利影响约RM700万。估算已计入预计停服时间与补救、修复成本。目前CTOS Score与CCRIS相关报告仍暂停，公司表示其他服务照常运作；补救措施的独立检视预计10月内完成，服务须在补救与独立验证都获满意后才会恢复。CTOS强调，上述数字属初步估算，会随更多资料出炉而调整。 数字背后：信任中断有了价格 以CTOS 2025财年净利约RM1.0485亿、营业额约RM3.26亿作参照，这次估算的净利影响约相当于前一年全年净利的一成多，营业额影响约5%。 从企业品牌角度看，这份披露的意义不只在于金额。信用报告机构卖的，本质上是“可被信赖的资料”；当核心报告暂停，客户无法照常查询，品牌承诺就直接变成可计算的营收缺口。“每周RM250万营业额”这个敏感度数字，相当于把信任中断的成本按周标价，这在本地上市公司的公开文件中并不常见。 不过，财务估算只覆盖看得见的部分。若停服时间拉长，部分企业客户可能改用其他渠道完成信用审查，续约时的议价态度也可能改变，这些较难量化的影响，要在之后几个季度的业绩里才看得出来。 企业可以从中做什么 检查对单一资料来源的依赖。做批发赊账、分期、租赁或B2B信用审查的企业，可以盘点内部审批流程是否只靠一家信用报告，并预先准备替代方案，例如其他持牌信用报告机构、客户银行往来文件或担保安排。 把资料外泄通报写进预案。《个人资料保护法令》修正后，资料外泄通报义务自2025年6月1日起生效：资料使用者须在知悉外泄后72小时内通报个人资料保护专员；若可能对当事人造成重大伤害，须在7天内通知受影响者。企业宜预先拟好通报流程、对外声明范本与指定发言人。 首次声明留有余地。事故初期往往难以判断全部影响，对外说明时可清楚交代“仍在评估”，并承诺下一次更新的时间点，避免日后数字变化时损及可信度。 算出“停一天要付多少”。把关键系统停摆一天或一周的营收与客户影响量化，纳入风险登记与危机沟通预案，董事会与管理层才有共同的决策基础。 接下来观察什么 独立检视能否如期在10月内完成，CTOS Score与CCRIS相关报告何时恢复。 CTOS下一份季度业绩中的实际影响，是否与初步估算一致。 公司会否进一步披露受影响资料的类型与人数；目前公开文件尚未说明。 资料来源 The Star：CTOS Digital estimates RM12mil in Patami impact from cybersecurity incident（2026年10月13日） BusinessToday：CTOS Warns Of RM16 Million Revenue Impact From Cybersecurity Breach（2026年10月13日） Bernama：CTOS Digital Detects Unauthorised Access To Consumer Data（2026年9月23日） New Straits Times：CTOS FY25 net profit slips to RM104.85mil（2026年1月） ASEAN Briefing：Malaysia Tightens Data Protection from June 2025