Tesis: CrowdStrike (CRWD)

1. Negocio

CrowdStrike vende detección y respuesta en el endpoint — y cada vez también identidad, nube, SIEM y datos — desde una única plataforma cloud-nativa, Falcon, con un solo agente que se instala una vez y se monetiza por módulos: el cliente entra por la protección de siguiente generación (EDR) y acaba pagando por seis u ocho módulos más (51% de los clientes ya usa ≥6). El KPI que gobierna todo es el ingreso recurrente anual (ARR): $5,51B (+24%), con nuevo ARR récord de Q1 FY27 ($256M, +32%). La innovación comercial reciente es Falcon Flex: un compromiso presupuestario flexible que el cliente consume en los productos que quiera — >1.000 clientes Flex y >100 «re-flex». Sale simple: es un contrato de infraestructura crítica con costes de cambio altos y expansión interna casi garantizada. Lo que no sale simple: cuánto del ARR se adelantó con descuentos Flex y cuánto del relato AI («Mythos moment», palabras de Kurtz) es demanda real contra expectativa vendida.

2. Industria — ciberseguridad

Gasto defensivo, contractual, anticíclico: nadie despide a su equipo de seguridad tras un ataque ajeno. El sector converge en plataformas: Palo Alto compró CyberArk por $25B (cerrada feb-2026) y Google pagó $32B por Wiz — retener al cliente exige cubrirlo todo. KPIs: nuevo ARR, RPO, regla de los 40 (CRWD la pasa con ~53). Método de valoración que dicta: EV/FCF para quien convierte caja (CRWD convierte, margen ~30%) — pero el mercado le aplica además múltiplo de «infraestructura de IA», no de software de seguridad. Trampa típica: pagar el múltiplo terminal de la victoria antes de que la batalla termine.

El viento de cola declarado es doble: los atacantes usan IA (Global Threat Report 2026 de la propia casa, citado por prensa: ataques habilitados por IA +89% interanual, tiempo medio hasta el breach de 29 minutos) y la IA corporativa crea superficies nuevas que proteger — agentes autónomos, identidades de máquinas, datos de LLMs. Gasto mundial proyectado $240B en 2026 (informes sectoriales vía prensa). Segundo orden: si la IA multiplica lo que hay que proteger, multiplica el TAM; pero también multiplica el número de competidores cualificados para protegerlo — microsoft y Palo Alto juegan el mismo partido con más piezas.

3. Moat — foso-economico

Tipo principal: costes de cambio + efecto de red de datos. Un agente kernel-mode en cientos de miles de endpoints corporativos no se sustituye por gusto: migrar implica riesgo operativo, reentrenar el SOC y renegociar contratos. Encima, cada endpoint alimenta la telemetría que mejora las detecciones de todos: más base instalada → mejor producto → más base instalada. Refuerzo comercial: Flex convierte el presupuesto del CISO en cautivo del ecosistema sin negociación módulo a módulo.

• ¿Aguanta 10 años? Probablemente sí como líder, no como monopolio. El incidente de julio de 2024 fue la prueba de estrés perfecta pero imperfecta: un update defectuoso paralizó Windows en todo el mundo, y el castigo fue económico (paquetes de compromiso con clientes, GAAP lastrado) y reputacional — no de cuota: el ARR siguió subiendo y hoy crece más rápido que antes del fallo. Consecuencia de la consecuencia: clientes y reguladores aprendieron que un único proveedor con acceso kernel es riesgo sistémico; la diversificación multi-vendor es desde entonces política razonable en muchas organizaciones. El foso resistió el ataque; la idea de prescindir de él quedó sembrada.
• Quién lo destruiría: (1) Microsoft, cuyo Defender va dentro del bundle M365 E5 y cuya nube es huésped y competidor a la vez; (2) la plataforma PANW+Cortex comprando amplitud que Falcon construye; (3) cambio de paradigma — si los «endpoints» que importan pasan a ser agentes de IA en clouds ajenas, el agente del portátil vale menos; (4) regulación post-incidente que imponga multi-agente o restrinja el acceso kernel.

4. Financieros

La caja dice una cosa y las cuentas otra; ambas son verdad. En caja: FCF TTM $1.505M (+38%), margen ~30%, net cash $3,7B — el negocio financia todo su crecimiento y sobra dinero. En cuentas: pérdidas GAAP crónicas (solo FY24 positiva) porque el SBC es $1.147M TTM (~22,5% de ingresos) y las amortizaciones otros ~$531M. Tres matices:

1. El FCF está inflado por estructura de cobro: el cliente paga por adelantado (+$944M TTM de ingresos diferidos cobrados). Es ventaja competitiva real, pero implica que el FCF anticipa crecimiento futuro: si este se frena, el FCF cae ANTES que los ingresos.
2. El retorno incremental no mejora: margen de FCF incremental FY22→FY26 ~25%, igual o algo inferior al margen medio. El apalancamiento operativo presumido (margen no-GAAP +530 pbs en Q1 FY27) aún no se ve en caja marginal.
3. La brecha GAAP/no-GAAP no es cosmética: 22,5% de ingresos pagado en acciones es coste real soportado por dilución (+2,29% anual pese a recompras testimoniales). Comparar con fortinet: mismo sector, SBC trivial, recompras masivas, rating A3 — la diferencia de calidad contable entre ambos es la mayor del sector.

5. Directiva y capital allocation

— dato privado retirado —

6. Valoración por escenarios

DCF propio (modelo declarado como mío) sobre anclas reales: FCF base ~$1,79B FY27E (guía ≥30% × $5,94B), net cash $3,73B, ~1,02B acciones. Descuento 9%, perpetuidad 4%.

| Escenario | Prob | Supuesto | Valor equity | Por acción | |---|---|---|---|---| | Pesimista | 30% | FCF +15% cinco años y decaimiento; el múltiplo comprime hacia ~55x FCF | ~$100B | ~$98 | | Base | 45% | FCF +22% diez años (nnARR +28% sostenido, conversión estable) | ~$129B | ~$127 | | Optimista | 25% | La inflexión AIDR/AI-security sostiene +29% una década (nnARR hoy +32%) | ~$204B | ~$200 |

Valor ponderado ≈ $137/acción vs precio $191,95 → margen de seguridad ≈ −29%. Lectura honesta: el precio actual descuenta una década entera de crecimiento del FCF al ~25% anual con descuento del 9%. Empresa de élite, precio que no deja respiro: cualquier tropiezo de crecimiento (no ya de ejecución) re-rating a la baja rápido, como febrero de 2026 demostró. Gatillo: ≤$118 (≈15% de margen sobre el valor ponderado, ~94x PER forward sobre la guía ya publicada).

7. Riesgos y red flags

• Valoración extrema: 147x beneficios forward, 126x FCF, P/S 38x; comparativa TIKR: ~98x EV/EBITDA forward contra Datadog 74x, Palo Alto 54x y mediana del software en 11x. El premium no es de sector: es de fe.
• Concentración narrativa: buena parte del re-rating de 2026 (+64% YTD) descansa en el relato AI-security aún sin cifras desagregadas verificables. Si AIDR tarda en monetizarse, el múltiplo castiga aunque el negocio siga creciendo al 20%+.
• Riesgo sistémico reputacional recurrente: vende confianza con acceso kernel a infraestructura global; un segundo incidente grave, propio o de su cadena, no tendría la indulgencia del primero (el de 2024 costó paquetes de compromiso y dos años de GAAP negativo — y aun así fue perdonado).
• Dilución estructural: SBC ~22,5% de ingresos; acciones +2,29% interanual pese a recompras; el CEO vende periódicamente bajo 10b5-1.
• Dependencia del ecosistema Windows/Microsoft: su mayor distribución es también su mayor amenaza competitiva (bundling E5).
• Catalizador binario inmediato: resultados Q2 FY27 el 26-ago-2026; el número que confirma o rompe la aceleración es el nuevo ARR guiado de $284–286M (TIKR).

8. Contraste con postura previa

Sin postura previa.

9. Veredicto propuesto: VIGILAR

Negocio excepcional — foso probado bajo fuego real, caja sobrante, crecimiento reacelerado tras el incidente de julio de 2024 — a precio que ya paga la década perfecta. Condiciones para pasar a COMPRAR: (a) corrección a ≤$118 sin deterioro fundamental (nuevo ARR ≥+25%, margen FCF ≥30%), o (b) dos trimestres consecutivos de nuevo ARR ≥+28% con dilución bajando del 2% anual — ahí el tiempo pagaría aunque el múltiplo no baje. Decide Carlos.

10. Qué invalidaría esta tesis

Señales falsables con umbral concreto:

• Nuevo ARR creciendo <25% interanual dos trimestres consecutivos → la reaceleración post-incidente era artificial (Flex adelantó compromisos); el múltiplo volverá hacia la mediana del sector con dolor.
• Recorte de guía FY27/FY28 de ingresos o ARR en cualquier trimestre → la «inflexión AI» era ciclo presupuestario.
• Pérdida visible de cuota ante Microsoft/PANW: bajar de Líder en los cuadrantes de referencia Gartner de endpoint/SIEM, o módulos medios (<6 por cliente) estancándose.
• Dilución neta >3% anual sostenida mientras el SBC supere el 25% de ingresos → la brecha GAAP/no-GAAP se vuelve estructuralmente abusiva.
• Segundo incidente grave de seguridad propio (infraestructura interna comprometida o fallo masivo de agente) → el pasativo reputacional devora al activo; salir sin esperar al mercado.

11. Predicciones falsables

| Predicción | Umbral | Fecha límite | Probabilidad | |---|---|---|---| | Nuevo ARR Q2 FY27 dentro de guía ($284–286M) | ≥$284M | resultados 26-ago-2026 | 60% | | Ingresos FY27 completos dentro de guía ($5.915–5.960M) | dentro | resultados Q4 FY27 (mar-2027) | 80% | | Nuevo ARR FY27 completo ≥+27% interanual | ≥27% | mar-2027 | 65% | | Primer ejercicio completo en beneficio GAAP positivo | FY27 sí / FY28 no | jun-2028 | FY27: 25% | | Corrección intradía ≥30% desde máximos ($227,50 ajustados) en 12 meses | sí | ago-2027 | 50% |

Si la quinta predicción falla (doce meses sin corrección del 30% con estos múltiplos), revisar al alza la persistencia del régimen de valoración: significaría que el mercado ha aceptado el marco «infraestructura de IA» como permanente, no transitorio.

Ver también

• crowdstrike