Palo Alto Networks veut acquérir CyberArk pour 25 milliards de dollars

Palo Alto Networks ne cherche pas seulement à grossir. En proposant de racheter CyberArk pour 25 milliards de dollars, le spécialiste américain de la cybersécurité parie sur un changement profond dans la manière de protéger les entreprises : à l’ère de l’intelligence artificielle, sécuriser le réseau ne suffit plus, il faut aussi contrôler précisément qui, ou quoi, peut accéder aux données, aux applications et aux outils les plus sensibles.

Annoncée le 30 juillet 2025, l’opération vise à faire entrer l’expertise de CyberArk en matière de sécurité des identités dans l’offre plus large de Palo Alto Networks. Sur le papier, l’ensemble réunirait des protections pour les réseaux, les environnements cloud, les postes de travail et les opérations de sécurité, avec une couche essentielle : la maîtrise des identifiants et des droits d’accès.

Pour les entreprises, l’enjeu est concret. Un mot de passe volé, une session compromise ou un compte administrateur trop largement autorisé peuvent ouvrir la porte à des données stratégiques, même lorsque les défenses réseau sont solides. L’IA rend certaines attaques plus rapides, plus crédibles et plus faciles à industrialiser. Elle multiplie aussi les identités non humaines, celles des logiciels, des services automatisés et, demain, des agents d’IA agissant au nom d’utilisateurs.

Une opération à 25 milliards de dollars, encore soumise à conditions

Palo Alto Networks a conclu un accord pour acheter CyberArk. Les actionnaires de CyberArk doivent recevoir, pour chaque action détenue, 45 dollars en numéraire et 2,2005 actions Palo Alto Networks. Sur la base du cours de Palo Alto Networks retenu dans l’annonce, cette contrepartie représentait environ 495 dollars par action CyberArk.

La valeur totale annoncée atteint 25 milliards de dollars. Il s’agit de l’une des opérations les plus importantes jamais envisagées dans le secteur de la cybersécurité, un marché où les entreprises cherchent de plus en plus à couvrir plusieurs besoins avec un nombre limité de fournisseurs.

L’accord n’équivaut toutefois pas encore à un rachat finalisé. Comme dans toute transaction de cette ampleur, plusieurs étapes restent nécessaires : l’accord des actionnaires de CyberArk, l’examen des autorités de la concurrence et le respect des autres conditions prévues au contrat. Palo Alto Networks prévoit alors une finalisation au cours du second semestre de son exercice fiscal 2026.

Pourquoi l’identité est devenue le front principal de la cybersécurité

Pour comprendre l’intérêt de CyberArk, il faut regarder l’évolution des attaques. Pendant longtemps, la sécurité informatique a été imaginée comme une enceinte : on protégeait l’entrée du réseau de l’entreprise avec des pare-feu, on surveillait les machines et on bloquait les intrusions. Ces protections restent indispensables, mais les organisations utilisent désormais des services cloud, des applications accessibles à distance et des systèmes interconnectés.

Dans cet environnement, l’identité devient le point de passage obligatoire. Un salarié, un prestataire, un logiciel de sauvegarde, une application métier ou un service automatique doivent tous s’authentifier pour accéder à une ressource. Le problème n’est donc pas seulement de savoir si l’accès est autorisé, mais aussi s’il est demandé par la bonne personne, au bon moment, depuis le bon appareil et avec le niveau de privilège approprié.

CyberArk s’est fait connaître par la protection des comptes à privilèges. Il s’agit des comptes capables de modifier une configuration, de créer des utilisateurs, d’accéder à de vastes ensembles de données ou de prendre le contrôle d’infrastructures critiques. Si un attaquant compromet un tel compte, il peut contourner de nombreuses protections et se déplacer dans le système d’information.

La sécurité des identités recouvre notamment plusieurs fonctions :

• la gestion et la protection des identifiants les plus sensibles ;
• la réduction des droits accordés à chaque utilisateur ou logiciel ;
• l’autorisation temporaire d’un accès administratif lorsque celui-ci est nécessaire ;
• le contrôle des accès des machines, applications et services automatisés ;
• la détection d’un usage inhabituel ou risqué d’un compte.

L’intelligence artificielle rend ce sujet encore plus pressant. Des outils génératifs peuvent aider des fraudeurs à rédiger des messages d’hameçonnage plus convaincants, à adapter une attaque à leur cible ou à produire du code malveillant. Ils peuvent également accélérer l’analyse d’informations dérobées. À l’inverse, les entreprises déploient elles-mêmes des automatisations et des agents d’IA qui doivent accéder à des données et à des logiciels. Chaque nouvelle autorisation doit être surveillée et limitée.

Ce que Palo Alto Networks et CyberArk pourraient réunir

Palo Alto Networks est déjà présent sur plusieurs couches de la défense informatique, notamment la sécurité des réseaux, des applications et des environnements cloud, ainsi que les outils destinés aux équipes chargées de détecter et de répondre aux incidents. CyberArk apporterait une pièce complémentaire : la protection de l’identité au moment où une demande d’accès est formulée.

Le principe d’une offre intégrée est simple à énoncer. Lorsqu’un outil de sécurité détecte un comportement suspect sur un poste ou dans le cloud, l’entreprise doit pouvoir identifier rapidement le compte concerné, comprendre ses droits et, si nécessaire, réduire ou interrompre son accès. Rassembler ces informations dans une même architecture peut raccourcir le temps de réaction des équipes de sécurité.

En pratique, l’intégration sera un chantier plus complexe. Les clients n’utilisent pas tous les mêmes outils, les mêmes annuaires d’entreprise ni les mêmes politiques d’accès. Ils attendront des deux groupes qu’ils préservent la compatibilité avec leurs environnements existants, tout en évitant de transformer une promesse de simplification en migration technique coûteuse.

Une consolidation révélatrice du marché de la cybersécurité

Cette opération intervient dans un secteur déjà marqué par la consolidation. Les entreprises clientes sont confrontées à une multiplication des alertes, des fournisseurs et des tableaux de bord. Elles cherchent donc des outils capables de partager des informations et de fonctionner ensemble, plutôt que d’empiler des produits isolés.

Pour Palo Alto Networks, l’acquisition de CyberArk constitue une manière d’élargir sa présence vers la sécurité des identités, un segment stratégique. Pour CyberArk, l’opération donnerait accès à un acteur disposant d’une implantation très large auprès des grandes organisations et d’une offre couvrant plusieurs domaines de la sécurité.

Cette logique ne signifie pas que toutes les entreprises devront choisir un fournisseur unique. Les grandes organisations conservent souvent des outils spécialisés, parfois pour des contraintes réglementaires, parfois parce qu’elles ont des besoins techniques très précis. Mais le poids d’un groupe réunissant sécurité réseau, cloud, opérations et identité pourrait pousser les concurrents à renforcer leurs partenariats, leurs intégrations ou leurs propres acquisitions.

Quelles questions pour les clients et les régulateurs ?

La première question concerne les clients actuels de CyberArk et de Palo Alto Networks. À ce stade, l’annonce décrit l’ambition stratégique du rapprochement, mais elle ne détaille pas l’ensemble des futurs produits, des feuilles de route techniques ou des modalités commerciales. Les entreprises auront besoin de garanties sur la continuité des services, l’interopérabilité avec leurs outils existants et la protection de leurs données.

La seconde porte sur la concurrence. Une acquisition de 25 milliards de dollars dans un domaine aussi sensible attirera nécessairement l’attention des autorités compétentes. Leur rôle n’est pas de juger la pertinence technique du rapprochement, mais d’examiner ses effets possibles sur la concurrence, le choix des clients et les conditions de marché.

Enfin, il faudra suivre l’organisation concrète des produits après la clôture éventuelle de l’accord. Palo Alto Networks n’a pas annoncé, dans les éléments rendus publics, le maintien ou non de la marque CyberArk, ni de détail définitif sur les éventuelles évolutions d’effectifs. Ces sujets ne peuvent donc pas être tranchés à ce stade.

Ce qu’il faut surveiller dans les prochains mois

La première échéance sera réglementaire. L’accord devra franchir les procédures d’examen applicables avant toute finalisation. Le calendrier annoncé donne une indication, mais ces démarches peuvent influer sur la date effective de clôture.

Le deuxième point sera la capacité des deux entreprises à démontrer une intégration utile pour les clients. La promesse est de relier la détection des menaces à la gestion des accès : repérer une activité anormale, savoir quelle identité est impliquée, mesurer ses privilèges et agir vite. C’est une proposition forte, mais sa valeur dépendra de la qualité des connexions entre les produits et de leur facilité de déploiement.

Le troisième enjeu dépasse les deux groupes. L’IA ne transforme pas seulement les moyens des attaquants, elle modifie aussi les systèmes que les entreprises doivent défendre. À mesure que les automatisations et les agents logiciels se multiplient, la question ne sera plus uniquement « qui se connecte ? », mais aussi « quel programme agit, au nom de qui, avec quels droits et pour accéder à quelles données ? ». C’est sur ce terrain de l’identité que Palo Alto Networks et CyberArk entendent désormais jouer une partie décisive.