"Este suceso será, sin duda, uno de los problemas cibernéticos más importantes de 2024". Así de contundente se mostraba Omer Grossman, CIO de la empresa de seguridad CyberArk, sobre la defectuosa actualización de la plataforma Falcon de CrowdStrike que provocó el colapso de hasta 8,5 millones de ordenadores con sistemas operativos Windows. "El daño a los procesos empresariales a nivel mundial está siendo dramático", afirmaba horas después de que se produjera el incidente.
Esto se ha reflejado en la cotización de la compañía, que se ha desplomado en las últimas dos sesiones de Wall Street. Concretamente, CrowdStrike ha perdido en torno a una quinta parte de su capitalización bursátil en las últimas dos jornadas y los analistas no esperan que la situación vaya a mejorar en el corto plazo.
No es para menos: el fallo ha afectado a infraestructuras críticas de todo el mundo, como hospitales, aeropuertos, entidades financieras y medios de comunicación. "Los primeros indicios sugieren que la aplicación de la solución podría ser un proceso manual y tardar en propagarse por completo. Creemos que podrían pasar meses hasta que se comprendan plenamente las implicaciones a corto y largo plazo para CrowdStrike", explican desde Standard & Poor's.
PREGUNTAS INCÓMODAS SOBRE LA MESA
Si bien el consejero delegado de la compañía, George Kurtz, ha subrayado que no se trata de un incidente de seguridad ni de un ciberataque, la magnitud del evento ha puesto sobre la mesa una serie de preguntas muy incómodas para el mercado y los inversores.
Una de ellas, señalan desde S&P, es que se ha puesto de relieve los riesgos para el ecosistema mundial de las tecnologías de la información (TI) derivados de la interdependencia de sistemas y software críticos, así como del riesgo de concentración derivado "del dominio de unos pocos proveedores clave" de dicho ecosistema.
Noticia relacionada
"Normalmente, tras un suceso como este, malintencionado o no, los riesgos crediticios tienden a aumentar por la pérdida de ingresos y el daño a la reputación, y a largo plazo muchas empresas seguirán incurriendo en costes para responder y remediar los sistemas informáticos y los procesos empresariales afectados", apuntan estos analistas.
Con la creciente digitalización, S&P también señalan que estos incidentes pueden volverse más comunes. Por lo tanto, opinan, la capacidad de las organizaciones para recuperarse rápidamente y restablecer las operaciones será "más primordial" que nunca. "Normalmente, los planes definidos de continuidad de negocio y de recuperación de desastres bien probados pueden mitigar el riesgo", agregan.
Asimismo, estos analistas advierten que el tamaño del incidente no solo podría afectar a CrowdStrike y aseguran que vigilarán "cualquier impacto crediticio" sobre compañías relacionadas como la propia Microsoft "a medida que evolucionen los acontecimientos".
LLUVIA DE RECORTES
Como decimos, el mercado es muy negativo con las perspectivas de CrowdStrike a corto plazo. En los últimos días, numerosas firmas de análisis han recortado su consejo sobre la compañía de ciberseguridad debido a que su imagen y reputación han resultado seriamente dañados tras este incidente.
Uno de los mayores recortes ha sido el de Piper Sandler, que, si bien mantiene su consejo en 'neutral', ha bajado el precio objetivo de las acciones de la tecnológica desde los 400 dólares hasta los 310 dólares. En su informe, estos expertos destacan los desafíos legales que tiene por delante la empresa, así como las reclamaciones de las partes afectadas y otra serie de factores que hacen que sea muy difícil cuantificar cuáles serán las repercusiones para la cotizada.
De su lado, los estrategas de Guggenheim opinan que la compañía "necesita tiempo" para "dejar que el polvo se asiente". Asimismo, subrayan que es muy posible que la firma pierda acuerdos "muy disputados" tras este episodio, además de poner en peligro la firma de nuevos contratos durante un tiempo. "Nos resulta difícil decir a los inversores que necesitan comprar Crowdstrike ahora mismo", explican.
En esta línea se sitúan también los analistas de BTIG, quienes destacan que la compañía tecnológica "cometió el 'pecado capital' para cualquier proveedor de seguridad: impactar negativamente en la generación de ingresos de sus clientes".
Por último, Guggenheim opina que este episodio debería invitar al mercado a que haga alguna que otra reflexión incómoda sobre la inteligencia artificial (IA), como qué pasaría "con el riesgo de que un modelo de IA simplemente cometa un error que tenga implicaciones de largo alcance".
NO TODO ES NEGATIVO
Con todo, S&P tiende una mano a CrowdStrike y reconoce que la tecnológica "ha superado nuestras expectativas en el nivel de calificación actual", además de mostrar su convencimiento en que "abordará las obligaciones relacionadas con las interrupciones desde una posición de fortaleza en relación con la calificación actual".
"Aunque se desconocen los costes y los riesgos normativos relacionados con la interrupción de la actualización del software, creemos que CrowdStrike tiene un margen significativo en la calificación actual para hacer frente a los impactos financieros y de reputación sustanciales relacionados con incidentes derivados de la interrupción. Continuaremos supervisando los nuevos desarrollos relacionados con este incidente y proporcionaremos actualizaciones si los nuevos desarrollos cambian nuestro razonamiento de calificación crediticia", apuntan desde S&P.
En uno de sus últimos informes, la firma estadounidense define a la firma de ciberseguridad como "una empresa de software de alta calidad con una marca sólida" dentro del sector.
En este sentido, S&P señala que CrowdStrike se beneficia de una posición de tesorería neta "significativa" (cercana a los 4.000 millones de dólares en comparación con los 750 millones de dólares de pagarés no garantizados), una escala de ingresos y EBITDA en aumento y un flujo de caja libre anual superior a los 1.000 millones de dólares.
"La empresa sigue demostrando su liderazgo tecnológico en sus principales soluciones de seguridad de puntos finales, así como en las cargas de trabajo de inteligencia artificial más recientes, lo que se ha traducido en una mejora de los resultados financieros y una fuerte generación de flujo de caja libre en los últimos 12 meses", apuntan.