Stock market reaction to corporate cyber and privacy incidents in European markets : an event study approach

Abstract

The purpose of this master’s thesis is to examine the market reaction to the disclosure of corporate cyber and privacy incidents to determine if there is a statistically significant short-term market reaction to these events. The sample consists of 112 disclosures of cyber and privacy incidents occurred on publicly traded companies listed on European stock exchanges during the years 2015-2024. Furthermore, the sample was split into sub-samples using the CIA triad as the classification framework to examine if the reaction differs between the different types of incidents. The research itself was carried out using the event study methodology, in which stock abnormal returns were calculated and evaluated for eight event windows of different lengths. The statistical significance of the abnormal returns is tested with a cross-sectional t-test as the parametric test and the Wilcoxon signed-rank test as the non-parametric test. Additional regression analysis was carried out to determine if company-specific characteristics affect the market reaction.

The results show a statistically highly significant negative market reaction when the whole sample of 112 stocks is considered. During the event day, an average abnormal return of -0.741 percent is found, with it being statistically significant at the 1% significance level. For the whole sample, statistically significant negative market reactions were also found for event windows of different lengths. No statistically significant market reaction was found for any event window examined for the Confidentiality sample, whereas a statistically highly significant negative market reaction for many event windows was found for the Availability sample cases. Additionally, the regression analysis indicates that firms with a higher market capitalization experience a less negative market reaction, whereas firms operating in Consumer Non-Cyclicals or Energy sectors were found to face a more negative market reaction.

Tämän pro gradu –tutkielman tarkoituksena on tarkastella yrityksiin kohdistuneiden kyber- ja tietoturvaloukkausten aiheuttamaa lyhyen aikavälin osakemarkkinareaktiota. Tutkimusaineisto koostui 112 julkisesti noteerattuun eurooppalaisyhtiöön kohdistuneesta kyber- tai tietoturvaloukkauksen julkistamisesta vuosien 2015–2024 aikana. Markkinareaktioeroavaisuuksien selvittämiseksi erityyppisten tapausten välillä otos jaettiin CIA-mallin perusteella pienempiin otoksiin. Tutkimus käyttää tapahtumatutkimusmetodia, jossa osakkeiden epänormaalit tuotot laskettiin kahdeksalle eripituiselle aikaikkunalle. Epänormaalien tuottojen tilastollinen merkitsevyys testattiin sekä parametrisesti poikkileikkausaineiston t-testillä että ei-parametrisesti Wilcoxonin merkittyjen sijalukujen testillä. Lisäksi yrityskohtaisten ominaisuuksien vaikutusta markkinareaktioon tutkittiin regressioanalyysin avulla.

Tulosten mukaan tapahtumapäivän keskimääräinen epänormaali tuotto 112 osakkeen otokselle oli –0.741%, joka on tilastollisesti merkitsevä yhden prosentin merkitsevyystasolla. Tilastollisesti merkitseviä negatiivisia markkinareaktioita havaittiin myös erimittaisissa tapahtuma-aikaikkunoissa. Tietosuoja-otoksessa tilastollisesti merkitsevää epänormaalia markkinareaktiota ei löydetty yhdessäkään tapahtumaikkunassa, kun taas Saatavuus-otoksessa tunnistettiin tilastollisesti erittäin merkitsevä negatiivinen markkinareaktio. Lisäksi regressioanalyysi osoitti, että korkeamman markkina-arvon yritysten epänormaali tuotto oli vähemmän negatiivinen, kun taas ei-syklisten kuluttajatuotteiden sektorin ja energia-alan yrityksillä negatiivinen markkinareaktio oli voimakkaampi.