En febrero de 2017, Verizon cerró la compra de Yahoo por 350 millones de dólares menos de lo pactado. El precio bajó de 4.830 a 4.480 millones después de que se conocieran dos brechas que no se habían declarado durante la negociación inicial, según recogió TechCrunch. Un año después, Marriott descubrió que la red de reservas de Starwood —la cadena que había comprado en 2016— llevaba comprometida desde 2014.
Las dos operaciones enseñan lo mismo por vías opuestas: en una, el riesgo se descontó del precio; en la otra se heredó, junto con la sanción y la gestión de la crisis. El riesgo tecnológico de la empresa que compras no se queda en su balance, pasa al tuyo. Por eso la ciber due diligence ya no se resuelve con una comprobación técnica de última hora: entra en el modelo de valoración.
Lo que hay que saber
Un certificado no acredita que la red esté limpia el día de la firma: acredita que existía un sistema de gestión evaluado en un alcance y una fecha concretos.
El riesgo técnico tiene precio y es negociable. La evidencia se traslada al precio, a las garantías del contrato y al calendario de pagos, o no se traslada a ninguna parte.
La autoridad británica de protección de datos ya ha valorado como factor la due diligence insuficiente realizada en una adquisición.
Sin acceso a los sistemas del objetivo se puede evaluar bastante: la superficie expuesta a internet, los terceros críticos y la evidencia de que los controles se usan de verdad.
Dos operaciones que explican el problema
Yahoo: el riesgo que se descuenta del precio
La compra de Yahoo por Verizon se anunció en julio de 2016 por 4.830 millones de dólares. Ese mismo otoño se hicieron públicas dos brechas: una de unos 500 millones de cuentas y otra de más de mil millones. El desenlace fue una rebaja de 350 millones y un reparto de responsabilidades, en el que Verizon asumió la mitad de los costes de las demandas de terceros y de las investigaciones de organismos públicos estadounidenses distintos del regulador bursátil. Hay un matiz que suele perderse: según se publicó entonces, el comprador llegó a pedir una rebaja próxima a los 925 millones y no la consiguió. El descuento por riesgo se negocia.
Marriott: la responsabilidad que se hereda
Marriott compró Starwood en 2016. En 2018 detectó que la base de datos de reservas estaba comprometida desde 2014, es decir, desde antes de la adquisición. La autoridad británica de protección de datos anunció en julio de 2019 su intención de multar con 99 millones de libras y cerró el expediente en noviembre de 2020 con una sanción de 18,4 millones de libras, tras valorar la cooperación de la empresa y el contexto de la pandemia.
Para un comité de inversión, lo relevante no es la cifra final sino el razonamiento: el regulador señaló como factor la due diligence insuficiente realizada en la adquisición. La revisión previa se había apoyado en manifestaciones y garantías del contrato, una atestación SOC 2, un informe de cumplimiento PCI DSS y conversaciones con los responsables de tecnología, sin pruebas técnicas sobre la infraestructura de reservas. El punto merece retenerse: un certificado acredita que existía un sistema de gestión, no que la red estuviera limpia.
Por qué el riesgo tecnológico entra en la valoración
La valoración se sostiene sobre crecimiento, márgenes, calidad de los ingresos y coste de capital, y la tecnología toca los cuatro. Si la arquitectura no aguanta los mercados que promete el plan, el crecimiento previsto pierde credibilidad. Si hay deuda técnica acumulada, aflora una inversión correctiva que nadie había presupuestado, más el gasto recurrente de sostener la operación. Y si el objetivo vende a sectores regulados o a grandes cuentas, una madurez insuficiente amenaza la renovación de esos contratos. En esos mercados, la seguridad ya es una condición para facturar. Toda esa incertidumbre termina en la prima de riesgo con la que se descuenta el negocio.
El criterio para juzgar el trabajo es simple: si el informe no cambia ninguna decisión económica o contractual, no ha sido una due diligence, ha sido una revisión técnica sin traducción al negocio.
La objeción honesta: no hay tiempo ni acceso
Cualquier responsable de inversión objetará, con razón, que un proceso competitivo no deja semanas para auditar y que el vendedor no va a abrir sus sistemas a un comprador que quizá no cierre. Ninguna operación se detiene para un análisis técnico exhaustivo, y pedir acceso profundo en pleno proceso puede ser inviable.
Ahora bien, la alternativa que se practica —confiar en las manifestaciones del contrato y en los certificados aportados— es el mismo apoyo documental que el regulador consideró insuficiente en Marriott. Entre auditarlo todo y no comprobar nada hay un terreno intermedio que sí cabe en el calendario de una operación.
Qué se puede evaluar con acceso limitado
Sin entrar en la red del objetivo se puede revisar bastante. La superficie expuesta a internet —dominios, servicios publicados, certificados, credenciales filtradas en brechas de terceros— se analiza desde fuera y dice mucho sobre la higiene de la casa. El mapa de terceros críticos, con sus contratos y sus accesos, saca a la luz la parte del riesgo que la compañía no gestiona directamente; es el problema que describimos en las lecciones de la cadena de suministro digital.
A eso se añade la revisión documental hecha con criterio, que busca evidencia de aplicación —registros, partes de incidencia, actas, resultados de pruebas de restauración— y no la mera existencia de la política. Y las entrevistas dirigidas al responsable de seguridad y al de tecnología, donde la calidad de las respuestas sobre incidentes pasados suele ser más informativa que cualquier cuestionario. Ese es el alcance que cabe en los plazos de una transacción, y el que cubre una auditoría de seguridad informática orientada a la operación.
Los cinco dominios que mueven el precio
Dependencias y resiliencia operativa
Hay que saber de qué sistemas dependen realmente los ingresos y la operación, si existen puntos únicos de fallo y si la continuidad se ha probado o solo se ha documentado. Un objetivo rentable con una resiliencia frágil traslada al comprador una volatilidad estructural que no se ve en la cuenta de resultados hasta que se materializa.
Deuda técnica y obsolescencia
La deuda técnica rara vez se declara con claridad en el data room, y condiciona la inversión, la velocidad de integración y la exposición a incidentes: vida útil de las plataformas centrales, dependencias de software sin soporte, calidad del desarrollo y del despliegue, y coste realista de modernización por fases. Es la partida que suele explicar por qué una operación barata acaba siendo cara.
Datos y exposición regulatoria
Sin un inventario fiable de datos sensibles, con su base jurídica, sus accesos, su retención y sus transferencias, no se puede estimar la exposición legal. Es la línea que determina el tamaño de esa exposición: en Marriott, el volumen y la naturaleza de los datos afectados marcaron el alcance del expediente. Se lee junto a la adecuación a NIS2 cuando el objetivo o sus clientes entran en el ámbito de la directiva.
Cadena de suministro digital
Una parte sustancial del riesgo está en manos de terceros: proveedores de nube, integradores, software crítico y socios con acceso remoto. Sin visibilidad sobre ellos, el comprador asume desde el primer día compromisos que no controla, y por eso la gestión del riesgo de terceros pertenece al alcance de la revisión y no al plan posterior.
Capacidad de detección y respuesta
La pregunta útil no es si han tenido incidentes —los ha tenido todo el mundo—, sino cuánto tardan en detectarlos y contenerlos, si los manuales de actuación tienen evidencia de uso y si las lecciones llegaron a los procesos. Como referencia económica, IBM sitúa la media global del coste de una brecha de seguridad en 4,44 millones de dólares en su informe de 2025 —una media que esconde diferencias regionales muy amplias— y asocia el primer descenso en cinco años sobre todo a detecciones y contenciones más rápidas. Cuando el objetivo opera plantas o maquinaria, la convergencia IT/OT se evalúa aparte: tratar una planta como si fuera un parque ofimático sesga la valoración.
Señales que obligan a revisar la tesis
Hay hallazgos que, por sí solos, justifican pausar, reprecificar o rediseñar la estructura. Estos son los que más veces cambian una operación:
No existe un inventario fiable de activos y de datos críticos. Si la compañía no sabe qué tiene ni dónde está, nadie puede dimensionar la exposición, y menos en el plazo de una operación.
La operación depende de dos o tres personas sin documentación ni segregación de funciones. Es riesgo de continuidad y de fraude a la vez, y se agrava justo después del cierre, cuando esas personas son las más propensas a marcharse.
Hubo incidentes relevantes sin análisis de causa raíz ni evidencia de remediación. Un incidente cerrado sin saber por dónde entraron es un incidente que puede seguir abierto.
Hay sistemas críticos fuera de soporte sin un plan de modernización con fechas y presupuesto. La factura existe; lo único que se discute es quién la paga.
Terceros con acceso privilegiado y sin control contractual ni técnico suficiente. Es riesgo heredado que además no se puede cerrar de forma unilateral tras la compra.
Las métricas de seguridad son de presentación y no tienen evidencia operativa detrás. Un cuadro de indicadores verde que nadie puede reconstruir con registros suele señalar un problema de gobierno, no de herramientas.
Ninguna de estas señales mata por sí sola una operación. Todas encarecen el cierre si se descubren después. Y hay una regla de calendario que conviene respetar: la revisión que empieza cuando la estructura del acuerdo ya está cerrada solo sirve para documentar lo que ya no se puede negociar.
De los hallazgos a los euros
Un hallazgo sin cifra no llega al comité. La traducción económica se ordena en cuatro bloques: la remediación obligatoria para alcanzar un umbral aceptable, la interrupción operativa —indisponibilidad, incumplimientos de nivel de servicio, fricción comercial—, la exposición regulatoria y legal, y el impacto comercial en forma de bajas de clientes o retrasos en ventas a grandes cuentas.
Lo que resiste el escrutinio son escenarios —base, severo y extremo— con horizontes de 12, 24 y 36 meses, diciendo con honestidad qué parte es estimación. Un rango razonado con supuestos explícitos aguanta las preguntas del comité mucho mejor que una cifra única sin trazabilidad. Ese material es el que después alimenta el cuadro de mando de ciberresiliencia con el que se sigue la integración.
Cómo aterriza en el contrato
El resultado debe verse en los términos del acuerdo. El precio se ajusta cuando aparece una inversión correctiva material no prevista. Una parte del pago se retiene en garantía si el coste del riesgo identificado es incierto. Las brechas críticas de continuidad o cumplimiento se resuelven antes del cierre, como condición previa. Las garantías específicas cubren incidentes pasados, integridad de los datos y obligaciones regulatorias, cada una con su plazo y su límite. Y el earn-out se vincula a hitos verificables de estabilización cuando la incertidumbre es alta pero el activo interesa.
Nada de esto penaliza la operación: la hace ejecutable. Un riesgo identificado y asignado por contrato es manejable; el que se descubre después del cierre ya no se negocia, se paga.
Después del cierre
No es raro que una operación supere la due diligence y pierda valor en los primeros meses por una integración mal ejecutada. Las prioridades razonables son estabilizar los activos críticos y los accesos privilegiados, unificar la monitorización y el gobierno —con capacidad propia o con un centro de operaciones de seguridad externalizado, un SOC gestionado—, cerrar las brechas regulatorias urgentes y ordenar la modernización por oleadas que el negocio pueda absorber.
Merece la pena decidir de antemano a quién se llama si aparece un incidente durante la integración, que es justo cuando los accesos están más desordenados. Tener contratada la respuesta a incidentes antes de necesitarla evita improvisar en la peor semana.
La decisión que corresponde al comité
La ciber due diligence no consiste en encontrar todos los fallos del objetivo, porque ninguna empresa los tiene resueltos. Consiste en distinguir el riesgo asumible del que no se puede pagar, ponerle una cifra defendible y decidir quién lo asume.
Vale la pena ser honesto sobre lo que enseñan los dos casos del principio: en Yahoo el problema se hizo público antes de cerrar y en Marriott apareció dos años después de firmar. Esa diferencia la marcó el calendario de divulgación, no la calidad de la revisión técnica. Y precisamente porque un comité no puede contar con esa suerte, las preguntas se hacen antes.
Los casos citados se basan en información pública y en resoluciones de autoridades supervisoras disponibles en la fecha de publicación: la revisión del precio en la operación Verizon-Yahoo (2017) y el expediente de la autoridad británica de protección de datos sobre Marriott International (intención de sanción en 2019, resolución en 2020). Este artículo es divulgación profesional y no constituye asesoramiento legal ni financiero; cada operación exige su propio análisis con asesores especializados.
