Due diligence de seguridad en adquisiciones de empresas

Al adquirir una empresa, el comprador asume todo su panorama de TI, sus datos y su pasivo de seguridad, incluidos todos los incidentes que nadie conoce en el momento del signing. En una encuesta de Forescout de 2019 a 2.779 responsables de TI y de negocio, el 53 por ciento declaró haberse encontrado durante una operación de M&A con un problema crítico de ciberseguridad que puso en peligro la transacción; el 73 por ciento consideró una filtración de datos no revelada como un dealbreaker inmediato. La due diligence financiera y legal clásica no hace visibles estos riesgos: requieren un examen propio y con fundamento técnico.

El mayor riesgo individual es un atacante que ya está dentro de la red de la empresa objetivo en el momento de la adquisición. Marriott adquirió en 2016 la cadena hotelera Starwood, cuyos sistemas estaban comprometidos desde 2014; el ataque no se descubrió hasta septiembre de 2018 y afectó a unos 339 millones de registros de huéspedes en todo el mundo. La autoridad británica de protección de datos ICO impuso en 2020 una multa de 18,4 millones de libras, referida a fallos de seguridad posteriores a la entrada en aplicación del RGPD, es decir, mucho después del closing. El compromiso en sí, Marriott lo había adquirido sin saberlo junto con la operación.

Además de los atacantes activos, otras tres clases de riesgo marcan el panorama. Primero, la deuda técnica: sistemas sin soporte del fabricante, infraestructura sin parches, permisos acumulados históricamente y shadow IT sin documentar, cuyo saneamiento tras el closing paga el comprador. Segundo, las brechas de cumplimiento: las obligaciones derivadas del RGPD, de NIS2, de marcos sectoriales como DORA o de requisitos de producto como el Cyber Resilience Act se transfieren de facto al adquirente, al igual que los procedimientos en curso o inminentes. Tercero, la fuga de propiedad intelectual: si el valor central del target –código fuente, datos de diseño, listas de clientes– ya fue exfiltrado antes del deal, la base de valoración de la transacción está dañada.

La due diligence se desarrolla bajo presión de confidencialidad y de tiempo, a menudo al principio sin ningún acceso a los sistemas del target. El External Attack Surface Management (EASM) actúa exactamente ahí: a partir de fuentes públicamente observables se recopilan dominios, servicios expuestos, versiones de software obsoletas, configuraciones erróneas y credenciales filtradas de la empresa objetivo, sin su participación y sin intervenir en sus sistemas. Complementado con un contraste con fuentes de la dark web y de filtraciones, se obtiene desde muy pronto un indicador de la postura de seguridad real, disponible incluso antes del acceso al data room y que fija las prioridades del examen posterior.

En cuanto hay acceso, se plantean dos preguntas: ¿está el target ya comprometido y qué solidez tiene su organización de seguridad? Un compromise assessment busca de forma forense rastros de ataques activos o pasados –mecanismos de persistencia, cuentas sospechosas, herramientas de ataque conocidas– y aborda así exactamente el escenario Marriott. En paralelo, la madurez del SGSI se contrasta con ISO/IEC 27001:2022: mediante cuestionarios estructurados, revisión documental y entrevistas con los roles clave. Los certificados existentes son un indicio, no una prueba: hay que verificar el alcance y la solidez de las auditorías.

Los hallazgos sólidos se traducen directamente en la mecánica de la transacción. Cuando Yahoo tuvo que revelar en 2016 dos filtraciones de datos con unos 500 millones y más de mil millones de cuentas afectadas respectivamente, Verizon y Yahoo redujeron en febrero de 2017 el precio de compra en 350 millones de dólares estadounidenses, hasta unos 4.480 millones de dólares, y acordaron además repartirse determinados riesgos de responsabilidad derivados de los incidentes. De forma análoga, los hallazgos pueden cubrirse mediante garantías, indemnizaciones, retenciones en escrow o condiciones suspensivas. Tras el closing rige la regla: ninguna interconexión de redes antes de concluir el examen; primero se consolidan identidades, accesos privilegiados y monitorización, y el saneamiento del pasivo sigue un plan de integración priorizado.