Proofpoint rachète Varonis pour 6,3 milliards de dollars
Proofpoint a accepté de racheter Varonis, une entreprise spécialisée dans la sécurité des données et de l'IA, pour environ 6,3 milliards de dollars en numéraire. Les deux sociétés ont annoncé l'accord jeudi.
Selon SecurityWeek, il s'agit de la plus grosse acquisition annoncée cette année dans la cybersécurité. Le site a recensé plus de 300 opérations de fusions-acquisitions dans le secteur en 2026.
Les conditions
Les actionnaires de Varonis recevront 49,75 dollars par action détenue. Cela représente une prime de 52 % par rapport au cours de clôture de 32,71 dollars du 22 juin 2026. Le 22 juin était la dernière séance complète avant que des rumeurs d'une possible vente ne commencent à circuler.
Thoma Bravo, le fonds de capital-investissement propriétaire de Proofpoint, apporte un financement en fonds propres ferme pour l'achat. Il a également obtenu des engagements de financement par la dette. Ontario Teachers' Pension Plan, l'un des grands fonds de pension publics canadiens, investit dans Proofpoint dans le cadre de l'opération.
Les entreprises prévoient de finaliser la transaction au premier semestre 2027. D'ici là, Proofpoint et Varonis continueront de fonctionner comme des sociétés distinctes et indépendantes. Une fois l'acquisition bouclée, Varonis deviendra une société non cotée.
Ce qu'apporte Varonis
Varonis commercialise une plateforme SaaS de sécurité des données. Elle repère et classe les données sensibles stockées dans les services cloud, les applications SaaS et les systèmes sur site. Elle établit aussi la cartographie des utilisateurs ayant accès à ces données et surveille la manière dont elles sont utilisées.
Son produit Atlas se concentre sur les systèmes d'IA qu'une organisation développe ou utilise. Atlas couvre :
- l'inventaire des systèmes d'IA
- la gestion de la posture de sécurité
- les tests de sécurité
- les garde-fous à l'exécution
- les rapports de conformité
Varonis propose en outre une solution de sécurité de la messagerie et du navigateur, ainsi qu'un service managé de détection et de réponse pour les données (MDDR).
Ce que Proofpoint a déjà
Proofpoint est surtout connu pour la sécurité de la messagerie. Ses produits sont conçus pour bloquer le phishing, la compromission de messagerie professionnelle (BEC), les rançongiciels et les logiciels malveillants, et l'entreprise applique une protection similaire aux applications de messagerie instantanée et aux comptes cloud.
Côté données, Proofpoint propose de la prévention des fuites de données, de la gestion des risques internes et de la gestion de la posture de sécurité des données pour repérer et classer les informations sensibles.
Cette année, l'entreprise a lancé AI Security. Le produit contrôle la manière dont les employés et les agents d'IA utilisent les outils d'IA. Il signale aussi les actions d'agents qui s'écartent de ce que l'utilisateur a réellement demandé ou qui enfreignent la politique de l'entreprise.
Après la finalisation, Proofpoint prévoit de fusionner les capacités des deux sociétés au sein d'une plateforme unique dédiée à la sécurité des données et de l'IA.
Des rachats antérieurs dans la sécurité de l'IA
Les deux entreprises faisaient déjà des acquisitions dans ce domaine avant la fusion. En février, Proofpoint a racheté Acuvity, une société spécialisée dans la sécurité et la gouvernance de l'IA. À peu près au même moment, Varonis a annoncé le rachat d'AllTrue.ai, un fournisseur de solutions de gestion de la confiance, des risques et de la sécurité de l'IA (TRiSM), pour 150 millions de dollars.
Une vue d'ensemble
L'ampleur de la prime laisse penser que Proofpoint voit en Varonis une pièce stratégique plutôt qu'un simple produit d'appoint. Proofpoint est depuis longtemps solide sur la couche messagerie, là où commencent de nombreuses attaques. Varonis est solide sur la couche données, là où les attaquants veulent généralement arriver. Réunir les deux pourrait donner à Proofpoint une visibilité à la fois sur le point d'entrée et sur la cible.
La dimension IA saute aux yeux. Les deux entreprises ont réalisé des acquisitions dans la sécurité de l'IA en février, et toutes deux proposent des produits destinés à contrôler la manière dont les outils et agents d'IA accèdent aux données de l'entreprise. Cela s'inscrit dans un mouvement plus large du secteur visant à encadrer ce que les agents autonomes peuvent faire. Les organismes de normalisation vont dans le même sens, le PCI SSC réclamant une validation humaine avant que des agents d'IA n'agissent sur des données de cartes bancaires. Les investisseurs continuent aussi de miser sur ce domaine, comme le montre la levée de 40 millions de dollars d'Hadrian pour la sécurité offensive agentique.
Pour les clients de Varonis, l'impact immédiat devrait être limité, puisque les entreprises restent indépendantes jusqu'à la finalisation de l'opération en 2027. À plus long terme, il faudra surveiller le déroulement de l'intégration. Fusionner deux grandes plateformes entraîne souvent des changements de licences, de noms de produits et de feuilles de route, et les clients qui ont choisi Varonis comme outil autonome pourraient le retrouver intégré à une suite Proofpoint plus large.
Il faudra aussi voir si les autorités de régulation s'y intéressent, vu la taille de l'opération, et si d'autres éditeurs de sécurité de la messagerie ou des données répliquent par leurs propres acquisitions. Avec déjà plus de 300 opérations recensées cette année, la consolidation dans la sécurité ne semble pas près de ralentir.