2026年3月27日、京都に本社を置き、美容室専売のヘアケア製品・医薬部外品を美容室のみで販売するコタ（東証4923）のサーバーがランサムウェアに感染した。同社は被害拡大を防ぐため全サーバーをネットワークから切り離したが、決算に必要なデータを復元できないことが判明し、数カ月にわたる手作業での経理処理を余儀なくされた。この障害に加え、通常より長期化した監査手続きも重なり、2026年3月期の有価証券報告書の提出は通常の期限を過ぎることになった。規制当局は提出期限を9月30日まで延長することを承認し、同社はその延長期限より1カ月早い8月31日に提出した。
直接的な財務への影響は小さかった。コタはインシデント対応費用として2700万円の特別損失を計上した一方、事後の販売促進イベント中止に伴い販売費は前年比で減少した。より大きな影響は同社の内部統制報告書に表れ、全社的な統制およびIT全般統制に開示すべき「重要な欠陥」があり、2026年3月31日時点で財務報告に係る内部統制は有効でないと結論付けた。コタは、攻撃以前からサイバーセキュリティ対策を講じていたものの、リスク評価と対策が不十分だったとしている。
この欠陥は攻撃当日、期末の4日前に判明したため、コタには決算締め切り前に是正する機会がなかった。財務諸表自体には既に計上済みの2700万円のインシデント対応費用のみが反映されており、監査人は無限定適正意見を表明した。コタは、開示した統制上の欠陥が当期の財務諸表にそれ以上の影響を及ぼしていないとしている。是正措置としては、攻撃者の侵入経路のフォレンジック調査、発見した脆弱性へのパッチ適用、ネットワーク監視の強化などが進められており、来期の予算計画には既にサイバーセキュリティ関連の追加費用が盛り込まれている。