Commvault supera previsiones, pero acción cae por guía débil

Commvault presentó este martes (27) los resultados del segundo trimestre del año fiscal 2027, finalizado el 30 de septiembre, y vimos caer las acciones en el parquet de Nasdaq incluso después de superar los estimados. La ganancia por acción ajustada fue de US$ 1,38, superior al consenso de US$ 1,24 compilado por Investing.com. Los ingresos sumaron US$ 312,39 millones, frente a los US$ 310,24 millones esperados.

El indicador que la empresa utiliza para medir el negocio de suscripciones, el ingreso recurrente anualizado (ARR), alcanzó US$ 1,104 mil millones, un aumento del 20% en doce meses, según el comunicado. La parte SaaS de estos ingresos creció un 35%, alcanzando US$ 454 millones.

El número que el mercado sancionó

El nuevo ARR neto de suscripciones fue de US$ 51 millones en moneda constante. En la teleconferencia, la empresa detalló que US$ 30 millones provinieron del SaaS y US$ 21 millones de licencias de software por tiempo determinado. Para el año fiscal, Commvault elevó la proyección de ARR de suscripciones a un rango de US$ 1,205 mil millones a US$ 1,215 mil millones, con un punto medio de US$ 1,210 mil millones, frente a US$ 1,205 mil millones en la estimación anterior.

Un aumento de US$ 5 millones en el punto medio, después de un trimestre por encima de lo esperado, fue interpretado como cautela. Los inversores que habían llevado la acción hacia arriba en las semanas anteriores esperaban una revisión mayor. La intensidad de la caída varió a lo largo del pregón según la fuente consultada.

La lectura opuesta tiene defensores. Una revisión modesta hacia arriba, con el SaaS creciendo un 35%, indica que la migración de la base instalada a la nube sigue al ritmo que la propia compañía venía señalando. La caída dice más sobre el precio que el mercado ya había incorporado que sobre la demanda. Para quienes siguen a Commvault como termómetro del presupuesto de resiliencia cibernética de las empresas, el trimestre muestra una demanda firme y crecimiento sin aceleración.

La demanda que proviene del ransomware

El contexto en el que Commvault vende se volvió más claro en las últimas semanas, especialmente en Japón. IDC Frontier, subsidiaria de SoftBank, tuvo su nube IDCF Cloud atacada por ransomware el 7 de octubre, afectando a 495 empresas y gobiernos locales. En el informe divulgado el 14 de octubre, el proveedor informó que las copias de snapshot podían ser recuperadas para 194 de esos clientes, quienes habían contratado la función. Los demás dependían de respaldos propios.

En la misma ventana, GMO Internet suspendió el servicio Onamae.com Desktop Cloud después de identificar un programa malicioso en servidores de clientes, con hasta 26,739 servidores potencialmente afectados, según la empresa. La primera ministra Sanae Takaichi ordenó el 26 de octubre que el gabinete montara un paquete de medidas de ciberseguridad en aproximadamente una semana.

Ninguno de estos episodios involucra a Commvault, y la empresa no los mencionó en los resultados. Pero ilustran el argumento central del sector de respaldo y recuperación: cuando el propio proveedor de nube es el objetivo, la copia que salva la operación es la que está fuera del alcance del invasor.

La lectura para compradores en EE. UU., Japón y Brasil

En Estados Unidos, principal mercado de Commvault y de competidores como Rubrik, Veeam y Cohesity, el trimestre confirma que el gasto en resiliencia resiste incluso cuando el presupuesto de TI es disputado por proyectos de IA. La presión del inversor está en el ritmo, no en la existencia de la demanda.

En Japón, el episodio de IDC Frontier convierte el respaldo en un tema de consejo. La diferencia entre 194 clientes con snapshot recuperable y los otros 301 es precisamente la cláusula que los directores de TI japoneses revisarán en los contratos de nube nacional en los próximos meses, ahora con el gobierno prometiendo medidas.

En Brasil, la Resolución CD/ANPD n.º 15 de 2024 exige la comunicación de incidentes de seguridad con datos personales en un plazo de hasta tres días hábiles. Para los operadores de nube y proveedores de alojamiento locales, un evento como el de IDCF Cloud pondría a cientos de controladores enfrente del mismo plazo al mismo tiempo, dependiendo de la información de un único proveedor.

Commvault no informó el martes si la ola de ataques a proveedores de nube ya aparece en los contratos firmados. Mientras esto no esté en los números, el termómetro que el inversor eligió es la velocidad de la nueva ARR, no el tamaño de la base: para llegar al punto medio de US$ 1,210 mil millones a partir de los US$ 1,104 mil millones actuales, la empresa necesita agregar alrededor de US$ 106 millones en dos trimestres, poco por encima del ritmo de US$ 51 millones que acaba de entregar.