Sachverhalt:
A. A.a Am 17. Dezember 2003 stellte die Stiftung Sicherheitsfonds BVG gesetzliche Leistungen für die Destinäre der Vorsorgeeinrichtung der Firma M._ AG (nachfolgend: Vorsorgeeinrichtung), sicher. Diese befand sich seit ........ in Liquidation und wurde im ........ gelöscht. Die Sicherstellung blieb in der Höhe von Fr. 2'668'405.15 ungedeckt. Die Vorsorgeeinrichtung hatte sowohl der Stifterfirma M._ AG (später N._), die der W._ AG gehörte, als auch dieser Darlehen gewährt, die nicht zurückbezahlt wurden. Erstere ist heute ebenfalls gelöscht, Letztere befindet sich in Liquidation.
A.b Die P._ AG wurde im Jahre 19.. gegründet. Am 25. August 1999 verfasste sie erstmals den Kontrollstellenbericht zur Jahresrechnung 1998 der Vorsorgeeinrichtung. Davor zeichnete die S._ AG resp. die vormalige Treuhandgesellschaft C._ AG für den Kontrollstellenbericht verantwortlich. Im Jahr .... fusionierte die S._ AG (seit .... D._ AG) mit der C._ AG. Beide Firmen waren im Besitz der E._ AG und wurden im .... an die P._ AG verkauft. Diese hält seit Dezember 2000 auch ein Revisionsmandat bei der M._ AG und ab 5. Februar 2003 ein solches bei der N._ in Liq. inne. Zudem war sie von September 1999 bis zur Löschung im .... Revisionsstelle der W._ AG.
B. Mit Klage vom 14. Juli 2011 forderte die Stiftung Sicherheitsfonds BVG von der P._ AG Fr. 2'668'405.15 nebst 5 % Zins seit 17. Dezember 2003. Sie legte ihr verschiedene Pflichtverletzungen im Zusammenhang mit den Darlehen an die W._-Gesellschaften zur Last. Die P._ AG bestritt in der Klageantwort vom 30. August 2010 vorab ihre Passivlegitimation. In der Folge beschränkte das Sozialversicherungsgericht des Kantons Zürich den Prozess auf dieses Thema und wies die Klage am 23. August 2011 wegen fehlender Passivlegitimation ab.
C. Dagegen erhebt die Stiftung Sicherheitsfonds BVG am 3. Oktober 2011 Beschwerde in öffentlich-rechtlichen Angelegenheiten und beantragt, der Entscheid vom 23. August 2011 sei aufzuheben, die Passivlegitimation sei zu bejahen und es sei die Sache zur weiteren Beurteilung an das Sozialversicherungsgericht des Kantons Zürich zurückzuweisen. Eventuell sei der Entscheid aufzuheben und die Sache zur Vervollständigung der Sachverhaltsfeststellungen an das Sozialversicherungsgericht zurückzuweisen. Ausserdem sei die Beschwerdegegnerin zu verpflichten, die von der Beschwerdeführerin am 28. September 2011 bezahlte Parteientschädigung von Fr. 7'000.- zuzüglich Zinsen an diese zurückzuerstatten.
Die Beschwerdegegnerin schliesst in der Vernehmlassung auf Abweisung der Beschwerde. Die Vorinstanz und das Bundesamt für Sozialversicherungen verzichten auf eine Vernehmlassung.
D. Am 16. Dezember 2011 und 12. Januar 2012 reichen die Beschwerdeführerin und die Beschwerdegegnerin je eine weitere Stellungnahme ein.
Erwägungen:
1. 1.1 Gemäss Art. 73 Abs. 1 BVG bezeichnet jeder Kanton ein Gericht, das als letzte kantonale Instanz über Streitigkeiten zwischen Vorsorgeeinrichtungen, Arbeitgebern und Anspruchsberechtigten entscheidet. Dieses Gericht entscheidet unter anderem auch über Verantwortlichkeitsansprüche nach Art. 52 (lit. c) und über den Rückgriff nach Art. 56a Abs. 1 (lit. d).
1.2 Art. 52 BVG (in der hier massgebenden, bis Ende 2004 gültig gewesenen Fassung) hat die Ersatzpflicht aller mit der Verwaltung, Geschäftsführung oder Kontrolle der Vorsorgeeinrichtung betrauten Personen für den ihr zugefügten Schaden zum Inhalt. Er stellt eine unmittelbar gesetzliche Haftung für absichtliches oder fahrlässiges Handeln des umschriebenen Personenkreises dar (ISABELLE VETTER-SCHREIBER, Kommentar Berufliche Vorsorge, 2009, N. 1 und 2 zu Art. 52 BVG).
Art. 56a Abs. 1 BVG (ebenfalls in der bis Ende 2004 gültig gewesenen Fassung) bildet die rechtliche Grundlage sowohl für die Verantwortlichkeit der nicht unter Art. 52 BVG fallenden Personen, die an der Zahlungsunfähigkeit der Vorsorgeeinrichtung ein Verschulden trifft, wie auch für das Rückgriffsrecht des Sicherheitsfonds auf ebendiese Personen. Dass Art. 56a BVG nicht von Haftung im engeren Sinn (für ungedeckte Schäden), sondern von Rückgriffsrecht spricht, hängt nicht mit der fehlenden Verantwortlichkeit dieses Personenkreises für die eingetretene Zahlungsunfähigkeit der Vorsorgeeinrichtung und den daraus dem Sicherheitsfonds entstandenen Reflexschaden zusammen. Vielmehr ist diese Terminologie Ausdruck des gesetzlichen Aufgabenbereichs des Sicherheitsfonds, der zunächst im Schadenfall die Leistungen, welche die zahlungsunfähige Vorsorgeeinrichtung nicht mehr erbringen kann, im Aussenverhältnis sicherstellen muss und alsdann als Haftender für den ihm durch die Sicherstellung entstandenen Schaden die Verantwortlichen direkt regressweise belangen kann (Innenverhältnis), ohne dass vorgängig ein separater verwaltungs- oder zivilrechtlicher Prozess zwecks Feststellung der Haftung der Verantwortlichen angestrengt werden müsste. Damit ist Art. 56a BVG für die vom Sicherheitsfonds belangten, nicht schon von Art. 52 BVG erfassten Verantwortlichen als massgebliche Haftungsnorm zu verstehen (BGE 130 V 277 E. 2.1 S. 280). Obwohl im Wortlaut nicht erwähnt, setzt die Haftung nach Art. 56a BVG nebst dem Verschulden auch das Vorhandensein der anderen üblichen Haftungselemente (Schaden; Widerrechtlichkeit bzw. Pflichtwidrigkeit; natürlicher und adäquater Kausalzusammenhang zwischen Pflichtverletzung und Schaden) voraus (SVR 2008 BVG Nr. 33 S. 135, 9C_92/2007 E. 1.3).
2. Wie die Vorinstanz für das Bundesgericht verbindlich festgestellt hat (vgl. Art. 105 BGG), wurden gemäss Kaufvertrag vom ........ die Aktien, nicht aber die Aktiven und Passiven der C._ AG auf die Beschwerdegegnerin übertragen. Dabei hat sie unter Hinweis auf BGE 86 II 89 zu Recht festgehalten, dass der Aktienkauf keine Geschäftsübernahme im Sinne von Art. 181 OR (in der bis Ende Juni 2004 gültig gewesenen Fassung) bildet. Es ist denn auch unbestritten, dass beide Firmen rechtlich selbstständige Gesellschaften sind. Die Beschwerdegegnerin kann daher von vornherein nicht aufgrund einer Übernahme der früheren Kontroll- und Revisionsstelle im Sinne von Art. 181 OR passivlegitimiert sein.
3. Damit stellt sich zunächst die Frage, ob die Beschwerdegegnerin aus eigener Schuld (berufsvorsorgerechtlich) haftbar geworden ist. Die Frage ist, wie die folgenden Ausführungen zeigen, zu verneinen:
3.1 Gemäss Klageschrift vom 14. Juli 2010 steht ein Handlungszeitraum vor dem (mit Wirkung auf den .... erfolgten) Aktienkauf im Zentrum. Die Vorinstanz hat dazu nicht offensichtlich unrichtig festgestellt (Art. 105 BGG), dass sich die allfälligen haftungsrechtlichen Vorgänge vor der Übernahme der S._ AG durch die Beschwerdegegnerin verwirklicht hätten. Die Beschwerdeführerin bestätigt im vorliegenden Verfahren, der Schaden habe sich bereits vor der Übernahme der Schadensverursacherin S. resp. C._ AG durch die Beschwerdegegnerin ereignet. Demnach kann die Beschwerdegegnerin nicht wegen einer berufsvorsorgerechtlich relevanten Pflichtverletzung, die auf eigenem Verhalten beruht (vgl. oben E. 1), ins Recht gefasst werden. Gleichzeitig steht fest, dass hinsichtlich des eingeklagten Schadens auch nicht das Institut des Durchgriffs zur Anwendung gelangen kann (vgl. dazu MARKUS DENNLER, Durchgriff im Konzern, Diss. Zürich 1984, insbesondere S. 32 f.), wie die Beschwerdeführerin - zumindest dem Titel der betreffenden Vorbringen nach - glauben zu machen versucht.
3.2 Das Vorliegen einer gegenüber der Beschwerdeführerin abgegebenen Garantie, beispielsweise einer bindenden Patronatserklärung, wird weder behauptet noch ist eine solche aktenkundig. Im Übrigen wäre eine solche Vertragsbeziehung auf dem zivilrechtlichen Weg klageweise geltend zu machen.
3.3 Die Beschwerdeführerin stützt sich indes auf erwecktes Vertrauen in das Konzernverhalten der Muttergesellschaft. Eine solche Vertrauenshaftung kommt, wie das Bundesgericht unlängst (erneut) betont hat, nur unter strengen Voraussetzungen in Betracht (vgl. Urteil 4A_306/2009 vom 8. Februar 2010; BGE 124 III 297 und 120 II 331). Eine Haftung entsteht nur, wenn die Muttergesellschaft durch ihr Verhalten bestimmte Erwartungen in ihr Konzernverhalten und ihre Konzernverantwortung erweckt, später aber in treuwidriger Weise enttäuscht. Das blosse Bestehen einer Konzernverbindung vermag keine Grundlage für eine Vertrauenshaftung abzugeben. Schutzwürdiges Vertrauen setzt ein Verhalten der Muttergesellschaft voraus, das geeignet ist, hinreichend konkrete und bestimmte Erwartungen zu wecken (erwähntes Urteil 4A_306/2009 E. 5.1 in fine). Diesfalls hat die Muttergesellschaft für den Schaden einzustehen, den sie durch ihr gegen Treu und Glauben verstossendes Verhalten adäquat verursacht hat (BGE 120 II 331 E. 5a S. 336).
Es kann offenbleiben, ob der vorliegende Sachverhalt überhaupt mit denjenigen Sachverhalten verglichen werden kann, die das Bundesgericht in den zitierten Fällen unter dem Haftungsaspekt des Konzernvertrauens zu beurteilen hatte. Ebenso wenig braucht abschliessend beantwortet zu werden, ob die Geltendmachung einer Haftung aus Konzernvertrauen überhaupt in die sachliche Zuständigkeit des Berufsvorsorgegerichts fällt (vgl. oben E. 1). Die Berufung der Beschwerdeführerin auf das sogenannte Konzernvertrauen (vgl. dazu auch PETER V. KUNZ, Klarstellungen zur Konzernhaftung, in: recht 2011 S. 41 ff.) hilft hier ohnehin nicht weiter. Nach dem in E. 3.1 Gesagten war der eingeklagte Schaden bei der Vorsorgeeinrichtung bereits eingetreten, als die Beschwerdegegnerin Muttergesellschaft der S. resp. C._ AG wurde. Mit Bezug auf Handlungen vor der Gründung der Beschwerdegegnerin und deren Tätigwerden für die Vorsorgeeinrichtung konnte jene von vornherein kein (später enttäuschtes) Vertrauen erwecken.
3.4 Die Beschwerdeführerin bringt im vorliegenden Verfahren erstmals vor, ihr Schaden ergebe sich daraus, dass die P._ AG zu keinem Zeitpunkt während den langwierigen Verhandlungen und im Briefverkehr vor dem Prozess auf den Umstand hingewiesen habe, sie belange die falsche Konzerngesellschaft. Die P._ AG habe die Stiftung Sicherheitsfonds BVG durch dieses Verhalten insoweit geschädigt, als letztere im Vertrauen auf die Zuständigkeit der P._ AG keine Verjährungsunterbrechungshandlung gegen die C._ AG vorgenommen und eine Klage gegen die - wie sich erst während des Prozesses herausgestellt habe - falsche Konzerngesellschaft eingeleitet habe. Dabei geht es nicht mehr um berufsvorsorgerechtliche Pflichtverletzungen im Zusammenhang mit den Darlehen an die W._-Gesellschaften (vgl. Sachverhalt lit. B). Insoweit ist die Klage nach Art. 73 BVG nicht gegeben. Eine Schadenersatzforderung wegen "Kundgabe falsche(r) Information", das heisst aus Rechtsverlust, ist zivilrechtlicher Natur und gehört nicht in den sachlichen Zuständigkeitsbereich des Berufsvorsorgegerichts (vgl. E. 1). Weiterungen zur Zulässigkeit der neuen Ausführungen erübrigen sich.
4. Eine andere Frage ist, ob die Beschwerdegegnerin eine fremde (berufsvorsorgerechtliche) Schuld resp. Haftung übernommen hat. Diese Frage bedarf der ergänzenden Abklärung.
4.1 Im vorinstanzlichen Verfahren hat die Beschwerdeführerin sowohl in der Replik vom 19. November 2010 als auch in der Stellungnahme zur Duplik vom 15. März 2011 geltend gemacht, die Beschwerdegegnerin habe mit ihren nach aussen sichtbar gewordenen Handlungen den Anschein einer "Geschäftsübernahme" erweckt. Dabei bezieht sich die Beschwerdeführerin nur terminologisch, nicht aber materiell auf Art. 181 OR; sie räumte selber ein, dass formell keine Geschäftsübernahme nach aArt. 181 OR stattgefunden hat (oben E. 2). Tatsächlich stellt sich die Stiftung Sicherheitsfonds BVG auf den Rechtsstandpunkt, das Verhalten der Beschwerdegegnerin müsse dahingehend gedeutet werden, diese sei in die bestehenden Mandate der S. resp. C._ AG eingetreten und habe damit deren Schuld übernommen.
4.2 Die Vorinstanz ist auf das sinngemässe Vorbringen der konkludenten Schuldübernahme im Sinne von Art. 176 Abs. 3 OR nicht weiter eingegangen (vgl. E. 2.4 des angefochtenen Entscheids). Damit hat sie den Anspruch der Beschwerdeführerin auf rechtliches Gehör (Art. 29 Abs. 2 BV) verletzt. Die - in diesem Punkt - fehlenden Sachverhaltsfeststellungen und der grundsätzliche Anspruch auf Einhaltung des Instanzenzuges (Urteil 8C_386/2011 vom 19. September 2011 E. 3.2 in fine mit weiteren Hinweisen) sprechen gegen eine Heilung im bundesgerichtlichen Verfahren. Der angefochtene Entscheid ist daher aufzuheben und die Sache an die Vorinstanz zurückzuweisen, damit sie die Passivlegitimation der Beschwerdegegnerin (zusätzlich) unter dem Blickwinkel einer konkludenten Schuldübernahme beurteile. Massgebend ist dabei der rechtsgeschäftliche Wille, den die Beschwerdegegnerin nach dem Aktienkauf sichtbar nach aussen kundgetan hat, wie er - vor allem seitens der Beschwerdeführerin - nach dem Vertrauensprinzip verstanden werden durfte und musste. Kann kein "stillschweigender" Übernahmewille ausgemacht werden, verbleibt definitiv weder für die Anwendung der Haftungsnorm von Art. 52 BVG noch für diejenige von Art. 56a BVG Raum.
5. Die Rückweisung der Sache an die Vorinstanz zu neuem Entscheid mit noch offenem Ausgang gilt für die Auferlegung der Gerichtskosten und der Parteientschädigung als volles Obsiegen der beschwerdeführenden Partei (Art. 66 Abs. 1, Art. 68 Abs. 2 BGG; BGE 132 V 215 E. 6.1 S. 235). Der anwaltlich nicht vertretenen Stiftung Sicherheitsfonds BVG ist keine Parteientschädigung zuzusprechen.
Demnach erkennt das Bundesgericht:
1. Die Beschwerde wird in dem Sinne gutgeheissen, dass der Entscheid des Sozialversicherungsgerichts des Kantons Zürich vom 23. August 2011 aufgehoben und die Sache an dieses zurückgewiesen wird, damit es, nach erfolgter Abklärung im Sinne der Erwägungen, über die Klage neu entscheide.
2. Die Gerichtskosten von Fr. 6'000.- werden der Beschwerdegegnerin auferlegt.
3. Es wird keine Parteientschädigung zugesprochen.
4. Dieses Urteil wird den Parteien, dem Sozialversicherungsgericht des Kantons Zürich und dem Bundesamt für Sozialversicherungen, Aufsicht Berufliche Vorsorge, schriftlich mitgeteilt.
Luzern, 5. März 2012
Im Namen der II. sozialrechtlichen Abteilung
des Schweizerischen Bundesgerichts
Der Präsident: Meyer
Der Gerichtsschreiber: Traub