Proofpoint va racheter Varonis pour 6,3 milliards de dollars, les agents IA redessinant le périmètre de sécurité

Proofpoint, l'entreprise de cybersécurité détenue par Thoma Bravo, a accepté le jeudi 15 octobre 2026 de racheter Varonis Systems dans une opération entièrement en numéraire valorisée à environ 6,3 milliards de dollars. Les actionnaires de Varonis recevront 49,75 dollars par action. Le conseil d'administration a approuvé l'accord à l'unanimité, et les entreprises attendent une clôture au premier semestre 2027, sous réserve d'un vote des actionnaires et des autorisations réglementaires. D'ici là, elles restent deux entreprises distinctes. À l'achèvement, Varonis cesse d'être cotée au Nasdaq et devient privée.

À lire aussi: Le groupe Leakers$ détourne des panneaux LED publics en Égypte, en Malaisie et au Brésil · La CISA classe PolyShell comme exploitée pendant que la campagne Magento touche des centaines de boutiques.

SecurityWeek la qualifie de plus grosse acquisition de cybersécurité annoncée en 2026 à ce jour, d'après son décompte de plus de 300 opérations de fusions-acquisitions dans la sécurité cette année. La taille fait la une, mais le raisonnement derrière est plus étroit. Proofpoint achète la couche logicielle qui détermine où se trouvent les données sensibles et qui, ou quoi, peut y accéder, parce que les agents IA détiennent désormais des identifiants et agissent à l'intérieur des mêmes systèmes.

L'annonce porte sur un accord définitif, pas sur une opération conclue, et cela compte pour les clients, les salariés et les actionnaires.

Ce que vendent réellement les deux entreprises

Varonis, basée à Miami et fondée en 2005, vend une plateforme SaaS qui trouve et classe les données sensibles dans les systèmes cloud, SaaS et sur site, cartographie qui peut y accéder et surveille leur usage. Atlas, son produit d'IA, recense les modèles et les agents, gère la posture, teste la sécurité, fixe des garde-fous à l'exécution et produit des rapports de conformité. Varonis vend aussi de la sécurité de la messagerie et du navigateur ainsi qu'un service géré de détection et de réponse sur les données, et a annoncé en 2026 un accord de 150 millions de dollars pour racheter le fournisseur de confiance en IA AllTrue.ai, rapporte SecurityWeek.

Proofpoint, basée en Californie et fondée en 2002, a bâti son activité sur la protection de la messagerie contre l'hameçonnage, la compromission de messagerie professionnelle et les logiciels malveillants. Elle y a ajouté la défense contre les menaces liées aux identités, la prévention des pertes de données, les risques internes et la gestion de la posture de sécurité des données. Son produit de sécurité de l'IA observe comment les salariés et les agents utilisent les outils d'IA et signale les actions qui s'écartent de la demande de l'utilisateur ou de la politique de l'entreprise. Proofpoint a racheté l'entreprise de gouvernance de l'IA Acuvity en février 2026 et dit servir plus de 80 des Fortune 100 et 14 000 grandes entreprises, selon l'annonce.

Les deux entreprises vendent désormais quelque chose appelé sécurité des données, ce qui fait paraître le chevauchement plus grand qu'il n'est. Varonis part des données : ce qui existe, où cela vit, quelles identités peuvent l'ouvrir. Proofpoint part du comportement : ce qu'une personne ou un agent fait dans la messagerie, dans un navigateur ou dans une application cloud. Sumit Dhawan, directeur général de Proofpoint, a décrit ce partage à CRN comme des signaux d'intention d'un côté, des signaux au niveau des données de l'autre.

Les entreprises affirment que l'ensemble combiné compterait plus de 8 000 salariés et plus de 3 milliards de dollars de revenus récurrents annuels, des chiffres venant des entreprises et non d'un document réglementaire. Varonis affichait un peu moins de 800 millions de dollars d'ARR à la fin juin et Proofpoint environ 2,5 milliards, selon CRN.

L'arithmétique derrière 6,3 milliards de dollars

La prime a deux chiffres, et celui que l'on retient change l'histoire. L'offre de 49,75 dollars est supérieure de 52 % à la clôture de Varonis à 32,71 dollars le 22 juin 2026, dernier jour de bourse complet avant les premières rumeurs de vente. Elle dépasse de 17 % la clôture de 42,35 dollars le 1er septembre 2026, dernier jour de bourse avant de nouveaux articles de presse.

Les multiples sont plus raides que la prime ne le suggère. Proofpoint valorise Varonis à environ 53 fois son flux de trésorerie disponible des douze derniers mois et 8,4 fois son chiffre d'affaires des douze derniers mois, tous deux mesurés au 30 juin 2026. Le communiqué précise en note que le premier correspond à la capitalisation boursière divisée par le flux de trésorerie disponible et le second à la valeur d'entreprise divisée par le chiffre d'affaires, ce qui signifie que les deux ratios n'ont pas le même dénominateur.

En prenant les chiffres annoncés à rebours, on obtient environ 750 millions de dollars de chiffre d'affaires des douze derniers mois et 119 millions de flux de trésorerie disponible sur la même période. Ce sont des chiffres dérivés, non divulgués : ils supposent que la valorisation de 6,3 milliards se transpose proprement sur les deux multiples, alors que les notes montrent que les deux reposent sur des bases différentes. Le chiffre d'affaires est proche des quelque 800 millions d'ARR que Varonis a déclarés pour juin, ce qui rend le multiple de 8,4 fois le chiffre d'affaires plus facile à défendre. À 53 fois le flux de trésorerie, le prix laisse peu de marge pour une intégration lente.

Thoma Bravo finance l'opération avec des fonds propres engagés et de la dette garantie. Ontario Teachers' Pension Plan a accepté d'investir dans Proofpoint parallèlement à la transaction. Goldman Sachs conseille Varonis ; BofA, Morgan Stanley, J.P. Morgan, UBS et Mizuho conseillent Proofpoint.

Pourquoi les agents ont mis les données au centre

Pendant la majeure partie de la décennie écoulée, l'industrie de la sécurité a traité l'identité comme le périmètre : vérifier l'utilisateur, appliquer le moindre privilège, surveiller les connexions anormales. Ce modèle suppose une personne derrière chaque session et une connexion que l'on peut interroger. Les agents IA brisent les deux hypothèses. Ils s'authentifient avec des jetons ou des comptes de service, héritent des permissions de celui qui les a déployés, enchaînent les outils et agissent plus vite que n'importe quelle étape d'approbation humaine. Une permission tolérable pour un salarié devient une exposition bien plus grande quand un logiciel peut l'utiliser des milliers de fois par heure.

La question utile devient ce qu'un agent peut atteindre, et ce qu'il touche à cet instant. Y répondre exige un inventaire des données sensibles, une carte des chemins de permissions qui y mènent et une visibilité à l'exécution sur les accès qui ont réellement lieu. Varonis fournit les deux premiers. Proofpoint fournit le troisième, au moins pour les canaux qu'il couvre déjà.

L'argument de Dhawan dans l'annonce est que la valeur et le risque de l'IA dépendent tous deux des données auxquelles elle peut accéder. Il ajoute que les agents atteignent de plus en plus d'informations sensibles et agissent à travers les systèmes, si bien que les entreprises doivent savoir ce qui doit être protégé, qui peut y accéder et comment ces données sont utilisées.

« À mesure que l'IA s'intègre dans l'entreprise, les données auxquelles elle accède déterminent à la fois sa valeur et son risque. »

Les deux entreprises ont des équipes de recherche qui donnent un peu de substance à l'argument. Les chercheurs de Varonis se sont fait remarquer en août en manipulant l'assistant Copilot Personal de Microsoft pour lui faire expliquer comment le pirater, rapporte The Register. Les analystes de Proofpoint ont publié ce mois-ci des recherches sur une campagne d'hameçonnage apparemment soutenue par la Chine et visant l'espionnage, rapporte The Record. La production de recherche n'est pas la même chose que la qualité des produits. Elle montre toutefois que les deux entreprises savent trouver des failles dans les systèmes qu'elles prétendent sécuriser.

Ce que personne n'a encore montré, c'est la plateforme combinée. Proofpoint dit vouloir agir vite après la clôture pour intégrer les produits, aligner les forces de vente et livrer une plateforme unifiée. Les deux ensembles de produits ont été construits séparément et auront besoin d'un modèle de données partagé avant que l'histoire de la visibilité des agents devienne quelque chose qu'un client peut acheter en un seul contrat.

Pourquoi le capital-investissement paie le prix fort

Thoma Bravo a retiré Proofpoint de la Bourse en 2021, et l'opération Varonis consiste pour une société de portefeuille à racheter une entreprise cotée avec des fonds propres et de la dette. Cette structure explique pourquoi le prix est plus facile à porter entre des mains privées. Un propriétaire privé peut absorber les coûts d'intégration et une année de marges faibles sans explications trimestrielles aux actionnaires publics.

Dhawan a déclaré à CRN que l'entreprise combinée serait plus attrayante pour les investisseurs publics et qu'évaluer une introduction en bourse serait un objectif après la clôture. Cela indique une fin de partie familière : réunir deux actifs de sécurité adjacents, afficher une plateforme plus grande avec davantage de revenus récurrents, puis recoter ou vendre quand les marchés le permettent. L'achat de Varonis est un pari qu'une franchise de sécurité des données vaut plus à l'intérieur d'une plateforme plus grande que seule.

Le prix reflète aussi la rareté. Varonis est l'une des rares entreprises indépendantes et de taille significative encore présentes dans la sécurité des données ; la plupart de ses pairs ont été absorbées par des plateformes plus grandes. Les acheteurs de sécurité, eux, continuent de consolider leurs fournisseurs. SecurityWeek a compté plus de 300 opérations de fusions-acquisitions en cybersécurité en 2026 à ce jour. The Record en a relevé deux grosses : le projet d'Accenture de prendre une participation majoritaire dans Dragos dans le cadre d'une transaction plus large de 4,175 milliards de dollars, et le rachat d'Oasis Security par Cyera pour 1 milliard de dollars, conclu en septembre.

Le raisonnement financier repose sur les ventes croisées. Proofpoint compte 14 000 grandes entreprises clientes ; Varonis vend un produit de sécurité des données que beaucoup d'entre elles n'achètent pas aujourd'hui. Vendre Varonis dans cette base, et les contrôles de messagerie et d'agents de Proofpoint dans les comptes Varonis, est la voie évidente vers la croissance. Les entreprises n'ont publié aucun objectif de synergies, aucun chiffre de licenciements ni budget d'intégration, si bien que le rendement implicite du multiple de 53 fois ne peut pas être vérifié de l'extérieur. Les acheteurs de la dette en auront vu davantage que le public.

Ce qui doit se produire avant la clôture

Deux approbations séparent l'annonce de la clôture. Varonis a besoin du vote favorable de ses propriétaires, et le soutien unanime du conseil aide mais ne tranche pas la question. Les régulateurs doivent aussi valider l'opération, et les entreprises n'ont pas dit quelles juridictions l'examineront ni quelles conditions pourraient s'appliquer. L'objectif du premier semestre 2027 laisse de la place à un examen, pas à un long contentieux.

Trois chiffres de l'annonce demandent du contexte. Le décompte de 16 000 entreprises et l'affirmation d'être « la plus grande organisation de cybersécurité des données et de l'IA du secteur » sont des déclarations de l'entreprise. Les multiples de 53 fois et de 8,4 fois ne sont pas conformes aux normes comptables, utilisent des chiffres arrêtés au 30 juin 2026 et mélangent valeur d'entreprise et capitalisation boursière. Les primes dépendent de la date choisie.

D'autres détails restent ouverts. Proofpoint n'a pas dit s'il conserverait la marque Varonis ; Dhawan a déclaré à CRN que la décision serait prise avant la clôture. Aucun licenciement n'est annoncé, et il n'y a pas de détail sur la manière dont les produits seront combinés. Varonis publie ses résultats du troisième trimestre le 3 novembre et sautera la conférence téléphonique en raison de la transaction en cours, ce qui supprime le lieu habituel des questions sur l'opération. Jusqu'à la clôture, les deux entreprises se concurrencent sur certains comptes et s'allient sur d'autres, et rien ne change pour les clients sur la seule annonce.

L'intégration est la question ouverte. La sécurité des données est le point où l'adoption de l'IA et le risque des agents se rencontrent, et un fournisseur capable de montrer à un client ce qu'un agent peut atteindre a une conversation commerciale plus facile. Le prix suppose que deux plateformes construites séparément peuvent devenir un produit qu'une équipe de sécurité peut exploiter. Aucun produit combiné n'existe encore. La première version en dira plus sur le prix que le multiple.

Image de couverture : « Varonis building, Herzliya » de David Shi (דוד שי), CC BY-SA 4.0, via Wikimedia Commons.