사이버 침해로 신용 서비스 중단 이어져…CTOS, 이익 1,200만 링깃 감소 추산

10월 복구 가정에 매출 1,600만 링깃 위험

CTOS Digital Bhd는 2026년 9월 23일 공개한 사이버 보안 사고로 연간 세후·비지배지분 차감 후 이익이 1,200만 링깃, 매출이 1,600만 링깃 감소할 것으로 예상한다고 밝혔다. 10월 13일 증권거래소 공시에서 발표한 이 추산은 영향을 받은 신용정보 서비스가 10월 셋째 주까지 이용 불가능한 상태로 남는다는 가정에 따른 것이다.

말레이시아 신용정보회사 CTOS는 CTOS Score와 중앙신용정보시스템(CCRIS) 관련 보고서가 여전히 일시적으로 이용 불가능하다고 밝혔다. 가정한 기간을 넘어 서비스 중단이 한 주 더 이어질 때마다 이익은 130만 링깃, 매출은 250만 링깃 추가 감소할 수 있다.

이번 업데이트로 CTOS가 사고를 처음 공개했을 때 제시한 재무 전망이 달라졌다. 당시 회사는 이용 가능한 정보를 바탕으로 중대한 재무 영향은 예상하지 않았다. 현재는 중단과 복구 비용이 2026년 12월 31일 종료되는 회계연도의 3분기와 4분기 모두에 영향을 미칠 것으로 보고 있다.

CTOS의 다른 서비스는 계속 운영되고 있다. 영향을 받은 서비스의 복구는 달력상의 날짜가 아니라 개선 조치의 만족스러운 완료와 독립적인 검증에 달려 있다. 10월은 독립 검토 완료 목표 시점이지, 특정 날짜에 서비스가 재개된다는 무조건적인 약속은 아니다.

재무 영향의 분기별 내역

CTOS는 9월 30일 종료된 3분기의 세후·비지배지분 차감 후 이익이 500만 링깃, 매출이 300만 링깃 감소할 것으로 추산했다. 4분기에는 이익 700만 링깃, 매출 1,300만 링깃 감소가 예상된다.

세후·비지배지분 차감 후 이익은 흔히 PATAMI로 줄여 부르며, 세금을 반영한 뒤 자회사 다른 주주에게 귀속되는 몫을 제외하고 회사 주주에게 돌아가는 이익을 뜻한다. 비용을 차감하기 전 창출된 수입을 측정하는 매출과는 다르다.

4분기 매출 영향은 예상 감소액 1,600만 링깃 가운데 1,300만 링깃으로 81.25%를 차지한다. 이익 영향은 1,200만 링깃 가운데 700만 링깃으로 약 58.3%다. 3분기에는 이익 영향이 매출 영향보다 커, 추산액을 단순히 놓친 매출로만 해석할 수 없음을 보여준다.

CTOS는 서비스 중단 예상 기간과 개선·복구 관련 비용을 계산에 반영했다고 밝혔다. 다만 해당 비용의 별도 내역은 공개하지 않았다. 1,200만 링깃은 예상 이익의 감소액이지, 회사가 연간 손실을 기록할 것이라는 전망은 아니다.

서비스 중단이 한 주 더 이어질 경우

주간 추산액은 복구 시점에 따라 재무 결과가 얼마나 달라질 수 있는지 투자자에게 보여준다. 다른 조건이 모두 같다고 가정하면, 서비스 중단이 한 주 더 이어질 경우 연간 매출 감소 추산액은 1,600만 링깃에서 1,850만 링깃으로, 이익 감소 추산액은 1,200만 링깃에서 1,330만 링깃으로 늘어난다.

두 주 더 이어지면 매출 감소액은 2,100만 링깃, 이익 감소액은 1,460만 링깃이 된다. 이는 CTOS가 밝힌 주간 수치를 적용한 계산이지 회사가 추가로 내놓은 전망은 아니다. 조사와 복구 작업이 진행되면서 기초 추산액은 바뀔 수 있다.

영향을 받은 서비스를 담당하는 신용정보회사 CTOS는 증권거래소 공시에서 추산의 근거와 불확실성을 설명했다.

이 추산은 잠정치이며, 서비스 중단 예상 기간과 개선 및 복구 작업에 드는 비용을 고려했습니다. 추가 정보가 입수되면 추산을 재검토할 수 있습니다,

공시에는 서로 다른 두 가지 불확실성이 남아 있다. 영향을 받은 서비스가 얼마나 오래 이용 불가능한 상태로 남을지, 그리고 추가 정보로 추산 비용이 바뀔지 여부다. 10월 중 검토를 완료하면 복구 절차의 한 단계가 마무리되지만, 그것만으로 최종 재무 영향이 확정되는 것은 아니다.

CTOS가 공개한 데이터 접근 내용

CTOS는 소비자 사업을 지원하는 특정 환경에 대한 무단 접근을 사이버 보안 모니터링 시스템이 감지했다고 밝혔다. 소비자 정보 일부가 담긴 특정 파일에 접근이 이뤄졌다. 회사는 대응 절차를 가동하고 해당 환경을 격리했다고 밝혔다.

CTOS는 포렌식 조사를 위해 독립적인 사고 대응팀을 투입했다. 관련 당국에도 통보했다고 밝혔다. 9월 당시 회사는 사고가 확인된 환경에 한정됐으며 다른 환경에는 영향을 주지 않았다고 평가했다.

회사는 어떤 개인정보가 관련됐는지, 소비자가 몇 명이나 영향을 받았는지 구체적으로 밝히지 않았다. 이 때문에 개인에게 미칠 결과를 평가하는 데 한계가 있다. 데이터 파일에 접근이 있었다는 사실은 공개됐지만, 여기서 언급된 발표만으로는 해당 정보가 복사·공개되거나 악용됐는지 확인할 수 없다.

사고 격리와 서비스 복구를 구분하는 것이 중요하다. 무단 접근을 차단하면 당면한 보안 사고에 대응할 수 있지만, 서비스를 재개하려면 개선 작업을 마치고 그 효과를 확인해야 한다. CTOS의 후속 재무 업데이트는 격리된 것으로 설명된 사고도 서비스 중단을 장기화할 수 있음을 보여준다.

독립 검증을 거쳐 서비스 재개

CTOS는 개선 조치와 보안 대책을 시행했으며, 그 효과를 확인하기 위한 독립 검토가 진행 중이라고 밝혔다. 검토는 2026년 10월 완료를 목표로 한다. 회사는 관련 당국 및 독립 전문가들과도 계속 협력하고 있다.

CTOS는 공시에서 서비스 복구 조건을 다음과 같이 설명했다.

회사는 개선 조치와 독립적인 검증이 만족스럽게 완료되는 것을 조건으로, 영향을 받은 서비스를 가능한 한 빨리 재개하기 위해 노력하고 있습니다,

회사는 정확한 복구 날짜를 발표하지 않았다. 10월 셋째 주는 재무 추산에 사용된 가정상의 시점이며, 만족스러운 개선 조치와 독립 검증은 영향을 받은 서비스를 재개하기 위한 조건이다. 이 두 가지를 같은 의미로 받아들여서는 안 된다.

이용 불가능한 것으로 구체적으로 확인된 서비스는 CTOS Score와 CCRIS 관련 보고서다. CCRIS는 중앙신용정보시스템을 뜻한다. 이번 공시는 해당 시스템과 연계된 CTOS 보고서에 관한 것으로, CCRIS 자체가 침해를 당하거나 운영을 중단했다는 뜻은 아니다.

9월 사고 공개에서 10월 비용 추산까지

발표는 한 보고 분기의 끝과 다음 분기의 시작에 걸쳐 이뤄졌다. 9월 23일 사고 공개는 3분기 종료 일주일 전에 나왔고, 10월 13일 업데이트는 4분기까지 이어지는 예상 영향을 수치로 제시했다.

• 2026년 9월 23일: CTOS가 소비자 사업을 지원하는 환경에 대한 무단 접근을 공개하고, 소비자 정보 일부에 접근이 있었다고 밝혔으며, 독립 포렌식 조사를 발표했다.
• 2026년 9월 30일: 3분기가 종료됐다. CTOS는 이후 해당 분기 매출 영향액을 300만 링깃, 이익 영향액을 500만 링깃으로 추산했다.
• 2026년 10월 13일: CTOS가 연간 매출 1,600만 링깃, 이익 1,200만 링깃 감소를 추산해 발표했다.
• 2026년 10월 셋째 주: 재무 추산에서 서비스 이용 불가 상태가 지속되는 것으로 가정한 종료 시점이다.
• 2026년 10월: 개선 조치와 보안 대책을 검증하는 독립 검토의 목표 완료 시기다.
• 2026년 12월 31일: 추산 대상 회계연도 종료일이다.

수정된 평가는 최초 발표가 고의로 부정확했다는 점을 입증하지 않는다. 다만 중단이 이어지고 복구 요건이 명확해지면서 재무적 결과에 대한 회사의 판단이 달라졌음을 보여준다.

이전 실적과 비교해 본 영향…수치 차이도 존재

이익 감소 추산액은 10월 업데이트 관련 보도에서 제시한 2025회계연도(FY2025) 순이익 1억440만 링깃의 약 11.5%에 해당한다. 매출 영향액 1,600만 링깃은 FY2025 매출 3억2,606만 링깃의 약 4.9%다.

전년 순이익 수치는 보도마다 다르다. 2026년 1월 29일 CTOS의 연간 실적을 다룬 보도는 FY2025 순이익을 1억440만 링깃이 아닌 1억485만 링깃으로 제시했다. 1억485만 링깃을 기준으로 하면 1,200만 링깃의 예상 영향은 약 11.4%다. 수치 차이에 대한 설명은 없으므로 두 수치를 같은 것으로 간주해서는 안 된다.

추가 실적 보도에서는 FY2025 순이익을 1억486만 링깃으로 제시했고, 1월 29일자 다른 보도는 1억460만 링깃이라고 밝혔다. 어느 쪽도 1억440만 링깃과 1억485만 링깃의 차이를 설명하지 않았다. 입수 가능한 자료에는 1월 29일 FY2025 실적 문서가 포함되지 않아, 보도된 수치만으로는 차이를 해소할 수 없다.

1월 실적 보도에 따르면 연간 이익은 영업비용 증가로 1억627만 링깃에서 감소했지만, 매출은 3억485만 링깃에서 3억2,606만 링깃으로 늘었다. 4분기 이익은 3,239만 링깃에서 4,456만 링깃으로 증가했고, 매출은 7,681만 링깃에서 8,798만 링깃으로 늘었다.

추가 보도는 연간 이익 감소의 원인으로 말레이시아 사업 이익이 영업비용 증가에 주로 기인해 7.3% 줄어든 9,699만 링깃을 기록한 점을 들었다. 높은 세금 비용도 그룹 이익에 부담을 줬다. 인도네시아와 필리핀의 대체 데이터 기반 신용점수 사업으로 구성된 국제 부문 이익은 48.1% 증가한 687만 링깃이었다. 연간 주당순이익은 4.6센을 유지했다.

추가 보도에 따르면 4분기 순이익은 4,457만 링깃, 매출은 8,798만 링깃이었다. 해당 분기에는 관계기업 투자 처분으로 1,790만 링깃의 이익이 포함됐다. CTOS는 Experian Information Services (Malaysia)의 지분 26% 전량을 8,000만 링깃에 매각했으며, 이 회사는 2025년 12월 18일 관계기업에서 제외됐다. 이 일회성 이익은 4분기 이익 증가를 이해하는 데 참고가 되지만, 입수 가능한 보도만으로는 연간 순이익 수치가 서로 다른 이유를 확인할 수 없다.

9월 사고 이전 CTOS는 2026회계연도 상반기 이익이 3,560만 링깃에서 4,116만 링깃으로 15.63% 증가했다고 밝혔다. 국내외 사업에 힘입어 매출은 1억5,507만 링깃에서 1억6,846만 링깃으로 8.63% 늘었다. 연간 이익 영향 추산액 1,200만 링깃은 상반기 이익 증가액 556만 링깃의 두 배가 넘지만, 이 비교가 연간 실적 전망을 뜻하는 것은 아니다.

긍정적 투자의견에도 주가 사상 최저

CTOS 주가는 10월 13일 장중 최저 45.5센까지 내린 뒤 사상 최저인 47.5센으로 마감했다. 종가는 0.5센, 1.04% 하락했으며 회사의 시가총액은 약 10억5,000만 링깃으로 줄었다.

직전 3주 동안 시가총액 3억 링깃 이상이 증발했고, 주가는 연초 이후 40.08% 하락했다. 시가총액 하락은 추산된 이익 영향과는 별개다. 이는 투자자들이 회사의 가치를 어떻게 평가하는지가 달라진 결과이지, CTOS에 동일한 규모의 현금 비용이 발생했다는 뜻은 아니다.

애널리스트 투자의견은 대체로 긍정적이었다. 매수 의견은 7건, 보유 의견은 2건이었다. 향후 12개월 컨센서스 목표주가는 89센으로, 종가 47.5센보다 약 87.4% 높았다. 목표주가는 추정치이지 보장된 결과가 아니며, 해당 투자의견이 마지막으로 조정된 시점은 제시되지 않았다.

Jade Vine Sdn Bhd를 통해 투자한 Creador가 지분 20.87%를 보유한 최대 주주였고, 말레이시아 근로자공제기금(EPF)이 20.68%로 뒤를 이었다. Aberdeen Group plc는 14.89%, Kumpulan Wang Persaraan (Diperbadankan), 즉 KWAP은 9.04%를 보유했다. 공개된 지분을 합하면 65.48%다.

성장 계획, 이제 복구 역량 시험대

CTOS는 1월 실적 발표 당시 2026년 성장에 대해 신중한 낙관론을 나타냈다. 말레이시아와 아세안 전역에서의 제휴 및 선별적 인수, 인공지능과 고급 분석 투자, 기술 인프라와 보안 개선 계획을 제시했다.

이번 사고로 당장 해결해야 할 운영상 우선 과제가 생겼다. 독립 검증을 마친 뒤 이용 불가능한 소비자 서비스를 복구하는 일이다. 재무 추산은 지연에 따른 비용을 수치로 제시하지만, 영향을 받은 소비자 기록의 유형과 건수는 공개되지 않아 데이터 관련 결과는 여전히 불분명하다.

다음으로 제시된 이정표는 10월 중 독립 검토를 완료하는 것이다. CTOS는 중대한 진전이 있으면 발표하겠다고 밝혔지만, 최종 복구 날짜나 전체 복구 비용 내역, 재무 영향에 대한 최종 평가를 내놓지는 않았다.

핵심 내용

• CTOS는 FY2026 매출이 1,600만 링깃, 이익이 1,200만 링깃 감소할 것으로 추산했다.
• 이번 추산은 영향을 받은 서비스가 10월 셋째 주까지 이용 불가능하다는 가정에 따른 것이다.
• 서비스 중단이 한 주 더 이어질 때마다 매출은 250만 링깃, 이익은 130만 링깃 감소할 수 있다.
• CTOS Score와 CCRIS 관련 보고서는 여전히 이용 불가능하며, 다른 서비스는 계속 운영되고 있다.
• 서비스 복구는 개선 조치와 독립 검증이 만족스럽게 완료되는 것을 조건으로 하며, 검토는 10월 완료를 목표로 한다.
• 회사는 관련된 개인정보의 종류나 영향을 받은 소비자 수를 구체적으로 밝히지 않았다.
• CTOS 주가는 10월 13일 사상 최저인 47.5센으로 마감했지만, 애널리스트 투자의견은 대체로 긍정적이었다.