El CERT de Polonia, sin respuesta de Dayforce, publica tres fallos en su sistema de nóminas
El CERT nacional de Polonia publicó el 28 de septiembre tres vulnerabilidades explotables sin autenticación en Dayforce Payroll tras fracasar sus intentos de contacto con el proveedor. Lo hizo una semana después de que esa misma línea de productos superara el FedRAMP, que le abre la puerta a los compradores federales de EE. UU., y mientras los trabajadores de Sydney Water cumplen un tercer mes sin cobrar la nómina. El préstamo de 5.500 millones de dólares que hay detrás de la compra de Thoma Bravo se precios en la idea de que la nómina es demasiado arriesgada para dejarla.
Vincent Jiang · 3 min read
El 28 de septiembre de 2026, el CERT nacional de Polonia publicó avisos de seguridad sobre tres vulnerabilidades explotables sin autenticación en Dayforce Payroll, tras lo que describe como intentos fallidos de contactar con el proveedor 5.
La nómina que nunca llega
Desde julio, esa misma línea de productos ha pagado con retraso a los trabajadores de Sydney Water o ha dejado de abonar los recargos y las horas extraordinarias de los que dependen cientos de ellos para pagar el alquiler y la manutención de sus hijos 1. Al menos la mitad de los 3.000 empleados de la empresa de agua se ha sumado a prohibiciones de tareas y paros rotatorios, y los sindicatos han llevado el conflicto ante la Fair Work Commission y la Comisión de Relaciones Industriales de Nueva Gales del Sur 1. «Se acerca octubre y sigue sin arreglarse», afirmó el secretario de la ASU, Angus McFarland 1. El sistema costó 40 millones de dólares australianos y ya ha provocado cuatro acciones judiciales 8.
Un peaje con la deuda a cuestas
Thoma Bravo sacó a Dayforce de Bolsa en una adquisición de 12.300 millones de dólares que los accionistas respaldaron, abonando 70 dólares por acción a los accionistas 23. Detrás queda un préstamo term loan con garantía de primer rango de 5.500 millones de dólares, calificado B+, levantado sobre una base de ingresos recurrentes del 85% y una retención bruta en la banda alta del 90% 4. Fitch prevé un apalancamiento de 7,6 veces el EBITDA este ejercicio fiscal, que bajará de 7,0 veces en un plazo de 12 a 18 meses 4. The Inference vinculó esta huelga con esa deuda el 26 de septiembre; la semana transcurrida desde entonces ha añadido dos vueltas de tuerca.
El argumento de Fitch para la calificación B de Dayforce: un apalancamiento que baja de más de 8x hacia 7x
- Apalancamiento sobre EBITDA ajustado
- Estimate
Data
| Apalancamiento sobre EBITDA ajustado | |
|---|---|
| Expectativa previa para 2026 (estimate) | 8x |
| Previsión para el ejercicio 2026 (estimate) | 7.6x |
| Perspectiva hasta finales de 2027 (estimate) | 7x |
Tres llaves, ninguna respuesta
Los avisos de seguridad cubren la versión R2026.2.0: una inyección SQL ciega basada en el tiempo, accesible a través de la función de recuperación de contraseña; cross-site scripting en varios endpoints; y un path traversal que permite a un atacante sin autenticar obtener cualquier archivo local 5. Solo esa versión está confirmada como afectada, aunque otras podrían compartir las vulnerabilidades 5.
Luz verde de Washington una semana antes
El 21 de septiembre, Dayforce anunció su estatus de Initial Implementation en el FedRAMP Marketplace, con lo que su plataforma de nómina pasa a figurar en el catálogo del que pueden comprar las agencias federales estadounidenses, dentro de una nube dedicada al Gobierno 67. La justificación de la calificación de Fitch menciona el foso defensivo sin rodeos: los requisitos de auditabilidad y el riesgo legal de los errores de nómina deberían limitar la disrupción que puedan causar las herramientas de IA 4. El riesgo legal de los errores de nómina es precisamente lo que están cargando los trabajadores de Sydney Water.
La otra cara
Sydney Water ha pedido disculpas, ha incorporado personal de nómina y está abonando la regularización de los pagos y anticipos por dificultades concedidos de buena fe 1. Dayforce alega su inversión continuada en controles de seguridad y su historial con organismos públicos regulados 6. Las cifras de retención de Fitch no se han movido ni un ápice 4.
Qué cede primero
Tres puertas: qué hace la Fair Work Commission con el conflicto de Sydney Water 1; si Dayforce responde a CERT Polska y corrige la versión R2026.2.0 5; y si el descenso del apalancamiento resiste la fuga de clientes que pueda provocar 4. El foso y la avería son la misma máquina: mientras cambiar de sistema de nómina duela demasiado, se atiende al préstamo antes que a los trabajadores.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
