Proofpoint comprará Varonis por 6.300 millones de dólares mientras los agentes de IA redibujan el perímetro de seguridad

Proofpoint, la empresa de ciberseguridad propiedad de Thoma Bravo, acordó el jueves 15 de octubre de 2026 comprar Varonis Systems en una operación íntegramente en efectivo valorada en unos 6.300 millones de dólares. Los accionistas de Varonis recibirán 49,75 dólares por acción. El consejo aprobó el acuerdo por unanimidad, y las compañías esperan cerrar en el primer semestre de 2027, sujeto al voto de los accionistas y a las aprobaciones regulatorias. Hasta entonces seguirán siendo negocios separados. Al completarse, Varonis dejará de cotizar en el Nasdaq y pasará a ser privada.

Lectura relacionada: Leakers$ secuestró pantallas LED públicas en Egipto, Malasia y Brasil · CISA marca PolyShell como explotada mientras la campaña contra Magento alcanza cientos de tiendas.

SecurityWeek lo califica como la mayor adquisición de ciberseguridad anunciada en lo que va de 2026, según su recuento de más de 300 operaciones de fusiones y adquisiciones de seguridad este año. El tamaño es el titular, pero el razonamiento detrás es más estrecho. Proofpoint compra la capa de software que determina dónde se encuentran los datos sensibles y quién, o qué, puede acceder a ellos, porque los agentes de IA ahora tienen credenciales y actúan dentro de los mismos sistemas.

El anuncio es un acuerdo definitivo, no una operación cerrada, y eso importa para clientes, empleados y accionistas.

Qué venden realmente las dos compañías

Varonis, con sede en Miami y fundada en 2005, vende una plataforma SaaS que encuentra y clasifica datos sensibles en sistemas en la nube, SaaS y locales, traza quién puede acceder a ellos y supervisa cómo se usan. Atlas, su producto de IA, inventaría modelos y agentes, gestiona la postura, prueba la seguridad, establece barreras de protección en tiempo de ejecución y genera informes de cumplimiento. Varonis también vende seguridad de correo y navegador y un servicio gestionado de detección y respuesta de datos, y anunció en 2026 un acuerdo de 150 millones de dólares para comprar el proveedor de confianza en IA AllTrue.ai, informó SecurityWeek.

Proofpoint, con sede en California y fundada en 2002, construyó su negocio sobre la protección del correo frente al phishing, el compromiso de correo empresarial y el malware. Desde entonces ha añadido defensa frente a amenazas de identidad, prevención de pérdida de datos, riesgo de personas internas y gestión de la postura de seguridad de datos. Su producto de seguridad de IA vigila cómo empleados y agentes usan herramientas de IA y señala acciones que se apartan de la petición del usuario o de la política de la empresa. Proofpoint compró en febrero de 2026 la empresa de gobernanza de IA Acuvity y dice que atiende a más de 80 de las Fortune 100 y a 14.000 grandes empresas, según el anuncio.

Ambas compañías venden ahora algo llamado seguridad de datos, lo que hace que el solapamiento parezca mayor de lo que es. Varonis parte de los datos: qué existe, dónde vive, qué identidades pueden abrirlo. Proofpoint parte del comportamiento: qué hace una persona o un agente en el correo, en un navegador o en una aplicación en la nube. Sumit Dhawan, consejero delegado de Proofpoint, describió la división a CRN como señales de intención por un lado y señales en la capa de datos por el otro.

Las compañías dicen que el negocio combinado tendría más de 8.000 empleados y más de 3.000 millones de dólares en ingresos recurrentes anuales, cifras de las empresas y no de un registro oficial. Varonis tenía algo menos de 800 millones de dólares de ARR a finales de junio y Proofpoint unos 2.500 millones, según CRN.

La aritmética detrás de 6.300 millones

La prima tiene dos números, y cuál se use cambia la historia. La oferta de 49,75 dólares está un 52 por ciento por encima del cierre de Varonis de 32,71 dólares el 22 de junio de 2026, el último día completo de cotización antes de los primeros rumores de venta. Está un 17 por ciento por encima del cierre de 42,35 dólares el 1 de septiembre de 2026, el último día de cotización antes de nuevos informes de prensa.

Los múltiplos son más pronunciados de lo que sugiere la prima. Proofpoint valora Varonis en unas 53 veces el flujo de caja libre de los últimos doce meses y 8,4 veces los ingresos de ese periodo, ambos medidos hasta el 30 de junio de 2026. La nota de prensa precisa que el primero es capitalización bursátil dividida por flujo de caja libre y el segundo valor empresarial dividido por ingresos, lo que significa que las dos ratios no comparten denominador.

Si se invierten las cifras anunciadas, implican unos 750 millones de dólares de ingresos de los últimos doce meses y 119 millones de flujo de caja libre. Son números derivados, no divulgados: suponen que la valoración de 6.300 millones encaja limpiamente en ambos múltiplos, y las notas muestran que los dos usan bases distintas. La cifra de ingresos se acerca a los aproximadamente 800 millones de ARR que Varonis reportó para junio, lo que hace del múltiplo de 8,4 veces ingresos el más fácil de defender. A 53 veces flujo de caja, el precio deja poco margen para una integración lenta.

Thoma Bravo lo financia con capital comprometido y deuda garantizada. Ontario Teachers' Pension Plan ha acordado invertir en Proofpoint junto con la operación. Goldman Sachs asesoró a Varonis; BofA, Morgan Stanley, J.P. Morgan, UBS y Mizuho asesoraron a Proofpoint.

Por qué los agentes llevaron los datos al centro

Durante buena parte de la última década, la industria de la seguridad trató la identidad como el perímetro: verificar al usuario, aplicar el mínimo privilegio, vigilar inicios de sesión anómalos. Ese modelo supone una persona detrás de cada sesión y un inicio de sesión que puede ser cuestionado. Los agentes de IA rompen ambas suposiciones. Se autentican con tokens o cuentas de servicio, heredan los permisos de quien los desplegó, encadenan herramientas y actúan más rápido que cualquier paso de aprobación humana. Un permiso tolerable para un empleado se convierte en una exposición mucho mayor cuando el software puede usarlo miles de veces por hora.

La pregunta útil pasa a ser a qué puede llegar un agente y qué está tocando ahora mismo. Responderla exige un inventario de datos sensibles, un mapa de las rutas de permisos que llevan a ellos y visibilidad en tiempo de ejecución del acceso que realmente ocurre. Varonis aporta las dos primeras. Proofpoint aporta la tercera, al menos para los canales que ya cubre.

El argumento de Dhawan en el anuncio es que el valor de la IA y su riesgo dependen de los datos a los que puede llegar. Añadió que los agentes alcanzan cada vez más información sensible y actúan entre sistemas, así que las empresas necesitan saber qué hay que proteger, quién puede acceder y cómo se usa.

«A medida que la IA se integra en toda la empresa, los datos a los que puede acceder determinan tanto su valor como su riesgo.»

Ambas compañías tienen equipos de investigación que dan algo de sustancia a la propuesta. Los investigadores de Varonis llamaron la atención en agosto al manipular al asistente Copilot Personal de Microsoft para que explicara cómo hackearse a sí mismo, informó The Register. Los analistas de Proofpoint publicaron este mes una investigación sobre una campaña de phishing aparentemente respaldada por China y dirigida al espionaje, informó The Record. La producción investigadora no es lo mismo que la calidad del producto. Sí demuestra que ambas firmas pueden encontrar fallos en los sistemas que dicen proteger.

Lo que nadie ha mostrado todavía es la plataforma combinada. Proofpoint dice que pretende moverse rápido tras el cierre para integrar los productos, alinear las ventas y entregar una plataforma unificada. Los dos conjuntos de productos se construyeron por separado y necesitarán un modelo de datos compartido antes de que la historia de visibilidad de agentes sea algo que un cliente pueda comprar en un solo contrato.

Por qué el capital privado paga de más

Thoma Bravo llevó Proofpoint a privada en 2021, y la operación de Varonis es una empresa de su cartera comprando una compañía cotizada con capital y deuda. Esa estructura explica por qué el precio es más fácil de soportar en manos privadas. Un propietario privado puede absorber costes de integración y un año de márgenes ajustados sin explicaciones trimestrales a accionistas públicos.

Dhawan dijo a CRN que la compañía combinada sería más atractiva para los inversores públicos y que evaluar una salida a bolsa sería un objetivo tras el cierre. Eso apunta a un final conocido: unir dos activos de seguridad adyacentes, mostrar una plataforma mayor con más ingresos recurrentes y luego volver a cotizar o vender cuando los mercados lo permitan. La compra de Varonis es una apuesta a que una franquicia de seguridad de datos vale más dentro de una plataforma mayor que por sí sola.

El precio también refleja escasez. Varonis es una de las pocas compañías independientes y de escala que quedan en seguridad de datos; la mayoría de sus pares se han absorbido en plataformas mayores. Los compradores de seguridad, mientras tanto, siguen consolidando proveedores. SecurityWeek contó más de 300 operaciones de fusiones y adquisiciones de ciberseguridad en lo que va de 2026. The Record señaló dos grandes: el plan de Accenture de tomar una participación mayoritaria en Dragos como parte de una operación más amplia de 4.175 millones de dólares, y la compra de Oasis Security por parte de Cyera por 1.000 millones, cerrada en septiembre.

El caso financiero se apoya en las ventas cruzadas. Proofpoint tiene 14.000 grandes clientes empresariales; Varonis vende un producto de seguridad de datos que muchos de ellos no compran hoy. Vender Varonis en esa base, y los controles de correo y de agentes de Proofpoint en las cuentas de Varonis, es la ruta obvia al crecimiento. Las compañías no han publicado ningún objetivo de sinergias, cifra de despidos ni presupuesto de integración, así que el retorno implícito en el múltiplo de 53 veces no puede comprobarse desde fuera. Los compradores de la deuda habrán visto más detalle que el público.

Qué tiene que pasar antes del cierre

Dos aprobaciones separan el anuncio del cierre. Varonis necesita que sus propietarios voten sí, y el apoyo unánime del consejo ayuda pero no lo resuelve. Los reguladores también deben autorizar la operación, y las compañías no han dicho qué jurisdicciones la examinarán ni qué condiciones podrían aplicarse. El objetivo del primer semestre de 2027 deja espacio para una revisión, no para una disputa larga.

Tres cifras del anuncio necesitan contexto. El recuento de 16.000 empresas y la afirmación de ser «la mayor organización de ciberseguridad de datos e IA del sector» son declaraciones de la compañía. Los múltiplos de 53 y 8,4 veces son non-GAAP, usan cifras de los últimos doce meses hasta el 30 de junio de 2026 y mezclan valor empresarial con capitalización bursátil. Las primas dependen de la fecha que se elija.

Otros detalles siguen abiertos. Proofpoint no ha dicho si mantendrá la marca Varonis; Dhawan dijo a CRN que la decisión se resolvería antes del cierre. No hay despidos anunciados ni detalles sobre cómo se combinarán los productos. Varonis presenta sus resultados del tercer trimestre el 3 de noviembre y se saltará la conferencia con analistas por la operación pendiente, lo que elimina el foro habitual para preguntas sobre el acuerdo. Hasta el cierre, las dos compañías compiten en algunas cuentas y colaboran en otras, y nada cambia para los clientes solo con el anuncio.

La integración es la pregunta abierta. La seguridad de datos es donde la adopción de IA y el riesgo de los agentes se encuentran, y un proveedor que pueda mostrar a un cliente a qué puede llegar un agente tiene una conversación de ventas más fácil. El precio asume que dos plataformas construidas por separado pueden convertirse en un producto que un equipo de seguridad pueda operar. Todavía no existe un producto combinado. El primer lanzamiento dirá más sobre el precio que el múltiplo.

Imagen de portada: «Varonis building, Herzliya», de David Shi (דוד שי), CC BY-SA 4.0, vía Wikimedia Commons.