As duas maiores compras do mês não vieram do setor de segurança

Junho teve 37 negócios, julho teve 21, agosto teve 33. O volume oscila, mas a média se mantém. Em 2025 foram 426 no ano inteiro. Consolidação em cibersegurança deixou de ser notícia há tempo.

O que mudou em agosto foi quem assinou o cheque grande.

Uma bandeira de cartão e uma resseguradora

A Visa comprando a BioCatch por US$ 2,4 bilhões em dinheiro não é uma aposta em segurança corporativa. É uma aposta em autenticação de transação. Biometria comportamental identifica quem está do outro lado pela forma como a pessoa digita, segura o telefone e navega pela tela, e serve exatamente para o problema que a bandeira tem: distinguir o titular legítimo de alguém operando a conta dele com credencial correta.

A Munich Re levando a At-Bay por US$ 575 milhões opera com a mesma lógica, vinda do outro lado. A At-Bay vende apólice cibernética junto com mitigação contínua e MDR. Ela vai para a unidade HSB do grupo. Para uma resseguradora, comprar a capacidade de reduzir sinistro não é diversificação de portfólio, é gestão de passivo.

Os dois negócios têm algo em comum que vale registrar. Nenhum dos compradores vai revender segurança como produto. Os dois compraram capacidade para usar internamente, dentro de um negócio que já existia. Isso muda o que eles estão dispostos a pagar, porque o retorno não vem de ARR novo e sim de perda evitada.

Entre os fabricantes, todo mundo comprou agente

Do lado dos fornecedores tradicionais, o padrão de agosto foi uniforme a ponto de chamar atenção.

Comprador	Alvo	O que entra
Fortinet	Virtue AI	Red team de sistemas agênticos, guardrails em tempo real, validação contínua de IA e proteção de agente.
Palo Alto Networks	Console	Plataforma para construir fluxos agênticos em linguagem natural, acoplada ao Cortex.
Cribl	Radiant Security	Triagem autônoma de alerta e resposta a incidente dentro da plataforma de telemetria.
Brinqa	PlexTrac	Fluxo e relatório de teste de intrusão acoplados ao CTEM, para validar se a correção funcionou.
Deel	Clarity	Detecção de deepfake e verificação de identidade na contratação remota. Estimado entre US$ 40 e 50 milhões.
Datavault AI	CyberCatch	Compliance contínuo e criptografia pós-quântica, por US$ 94,5 milhões à vista.

Duas leituras possíveis, e elas não se excluem. A generosa: o setor reconheceu que sistemas agênticos criaram uma superfície que nenhuma linha de produto existente cobria, e está comprando o que não conseguiu construir a tempo. A cética: o ciclo de renovação precisa de um motivo, e “proteção para os agentes que você acabou de implantar” é o motivo disponível neste ano.

A realidade, provavelmente, mistura as duas. O que o comprador corporativo deve observar é menos a narrativa e mais o prazo de integração. Capacidade adquirida em agosto de 2026 raramente aparece como recurso maduro antes de meados de 2027, e até lá o que se compra é um roteiro de produto.

Leitura LATAMSEC

Três implicações para quem compra segurança no Brasil e na região.

Contrato de fornecedor adquirido merece leitura agora, não na renovação. Sete aquisições em menos de cinco anos, como no caso da Kiteworks, significam sete integrações de roadmap, sete times de suporte fundidos e, quase sempre, algum produto descontinuado no caminho. Se um fornecedor seu apareceu na lista de agosto, a cláusula que importa é a de continuidade de serviço e a de aviso prévio de fim de vida.

Identidade está sendo precificada como infraestrutura crítica. US$ 2,4 bilhões por biometria comportamental é um sinal de preço vindo de quem carrega o prejuízo da fraude. No Brasil, onde o Pix consolidou transferência instantânea e irreversível, o custo da fraude de identidade recai sobre a instituição com um atrito bem menor do que no cartão. Quem ainda trata verificação de identidade como item de compliance está usando um critério que o mercado já abandonou.

Seguro cibernético está comprando o direito de opinar sobre o seu ambiente. A lógica da compra da At-Bay é que a seguradora prefere gastar em prevenção a pagar sinistro. Isso funciona bem para o segurado enquanto significa MDR incluído. Funciona menos bem quando vira exigência técnica na renovação e recusa de cobertura por controle ausente. Vale antecipar essa conversa com o corretor antes que ela chegue como condição.