O que muda para quem compra segurança: o volume de capital subiu sem aumentar o número de fornecedores. As rodadas caíram em todos os estágios e o dinheiro se concentrou em poucas empresas, quase todas de IA aplicada a segurança e boa parte delas em identidade. No mesmo período, as aquisições tiraram de cena os fornecedores de porte médio, que eram justamente a alternativa de quem não quer comprar plataforma inteira de um fornecedor só.
A consequência prática aparece na renovação de contrato, não no catálogo de preço. Quando o fornecedor de um controle específico é comprado por uma empresa maior, muda o roteiro comercial, muda o pacote e às vezes muda quem pode ver o dado que aquele controle processa. A cláusula de troca de controle, que quase ninguém lê na assinatura, é o único ponto de alavancagem que sobra depois do anúncio.
O terceiro trimestre de 2026 fechou com 6,8 bilhões de dólares captados por startups de segurança e privacidade no mundo, alta de cerca de 50% sobre o trimestre anterior e empatado com o melhor trimestre dos últimos anos. A leitura fácil seria dizer que o setor está aquecido. O número que importa é outro: a quantidade de rodadas caiu em todos os estágios. Entrou mais dinheiro em menos empresas.
Três captações dão a dimensão. A Keyfactor levantou 1 bilhão de dólares em julho. A Island fechou 400 milhões em setembro a um valor de 6,4 bilhões. A Cyera fechou outros 400 milhões no mesmo mês, a 12 bilhões, apenas três meses depois de ter levantado 600 milhões. Pelo menos 18 empresas no cruzamento de IA e segurança fecharam rodada de 100 milhões ou mais, com concentração clara em identidade.
O mercado médio é o que está sendo comprado
O primeiro semestre registrou 219 fusões e aquisições no setor, o semestre mais rápido já contabilizado, com 9,1 bilhões de dólares de valor divulgado sem contar os megaacordos anunciados antes. No topo da lista estão compras de plataforma: Palo Alto Networks e CyberArk, Google Cloud e Wiz, ServiceNow e Armis, Francisco Partners e Jamf. A tese declarada de quem compra é sempre a mesma, reduzir o número de fornecedores do cliente, e as categorias preferidas são identidade, dados e tecnologia operacional.
Os múltiplos mostram onde está o apetite. No mercado médio baixo, a média sai em 4,3 vezes receita e 11,7 vezes EBITDA. Startup privada com boa tração vale de 12 a 18 vezes receita, e a nativa de IA passa de 20. Ativo legado fica entre 3 e 6 vezes, e fundo de private equity paga de 5 a 8 vezes em operação de fechamento de capital. O desenho resultante é um mercado de poucos acordos enormes no topo, muita compra pequena de tecnologia na base e um meio que afinou.
Para o comprador corporativo, isso não é notícia de mercado de capitais. É previsão de quantas renovações dos próximos 24 meses serão conduzidas por um fornecedor diferente do que assinou o contrato.
A compra que chega mais perto da América Latina
Em 3 de agosto a Visa anunciou a compra da BioCatch por 2,4 bilhões de dólares em dinheiro. A BioCatch faz biometria comportamental: mede como a pessoa digita, move o mouse e toca a tela, mais de 3 mil pontos anonimizados por sessão, para distinguir o titular da conta de quem assumiu o controle dela. A empresa diz proteger 1,8 bilhão de dispositivos e 760 milhões de usuários, atender mais de 350 clientes bancários em 21 países e analisar 19 bilhões de sessões por mês. O fechamento é esperado até o fim do segundo trimestre fiscal da Visa em 2027, perto de 31 de março.
Esse é o controle que os bancos brasileiros vêm priorizando. Um estudo da própria BioCatch publicado em agosto aponta que 70% das instituições brasileiras colocam detecção de fraude em tempo real como prioridade, que 60% buscam defesa por IA e que 83% consideram maduros os modelos de detecção de anomalia com IA, contra 72% na média global. A integração de análise de comportamento e de intenção aos controles existentes é prioridade para 43% dos líderes brasileiros, contra 27% no mundo. A razão é conhecida: o golpe por engenharia social, em que a transação é autorizada pelo titular de verdade, não é detectável por regra de dispositivo nem por checagem de credencial.
Há um detalhe regional que raramente aparece na cobertura do acordo. A BioCatch opera redes interbancárias de fraude, em que instituições concorrentes compartilham sinal sobre conta suspeita, e uma dessas redes está na Argentina, com Banco Galicia, Naranja X e Santander. Quando o operador de uma rede de dados compartilhados entre bancos passa a pertencer a uma bandeira de cartão, a pergunta sobre quem controla o dado depois do fechamento deixa de ser abstrata.
O que ainda não foi dito
Nem o comunicado da Visa nem o da BioCatch tratam dos três pontos que interessam ao cliente: continuidade de atendimento a banco que opera em rede concorrente, preço avulso fora de pacote e limite de uso secundário do dado. O que existe é uma declaração de intenção do presidente da BioCatch, no mesmo dia do anúncio, de seguir atendendo as mesmas instituições do mesmo jeito. Intenção declarada não é cláusula.
O risco de empacotamento é concreto porque a unidade de serviços de valor agregado da Visa cresce mais rápido que a companhia. Um controle que hoje é negociado isoladamente tende a virar item de um pacote maior, e aí o poder de barganha do comprador diminui. Trocar de fornecedor também ficou mais difícil como ameaça: Mastercard, Feedzai e LexisNexis já compraram outros fornecedores de biometria comportamental, o que significa que a alternativa provavelmente também tem dono novo.
Sobra o contrato. Na prática, isso quer dizer revisar agora a cláusula de troca de controle e a de cessão, pedir por escrito compromisso de continuidade de atendimento, preço avulso, limite de uso secundário do dado e aviso prévio de reposicionamento de produto, e evitar assinar renovação longa antes do fechamento sem esses termos. A janela é de cerca de cinco meses até o prazo esperado de conclusão, e ela é mais curta que o ciclo de compra de muita instituição.
O movimento maior é o mesmo que aparece nas rodadas de investimento. O capital se concentra, os fornecedores se concentram, e o que era uma decisão de produto passa a ser uma decisão de dependência. Vale tratar como item de risco de terceiro, com dono e data, e não como notícia de aquisição para ler no fim do dia.
Onde o dinheiro entrou e onde ele saiu
- Rodadas
Três cheques explicam boa parte do trimestre
Keyfactor levantou 1 bilhão de dólares em julho, com a Summit Partners. Island fechou 400 milhões em setembro, com a Evolution Equity, a um valor de 6,4 bilhões. Cyera também fechou 400 milhões em setembro, com o braço de crescimento do Goldman Sachs, a 12 bilhões, três meses depois de uma rodada de 600 milhões.
- Identidade
A maior parte do dinheiro foi para IA aplicada a segurança, com foco em identidade
Pelo menos 18 empresas no cruzamento de IA e segurança fecharam rodada de 100 milhões de dólares ou mais no trimestre. Identidade é a categoria que concentra, e é a mesma categoria que concentra as aquisições de plataforma.
- Meio
O meio do mercado é o que está desaparecendo
O primeiro semestre teve 219 fusões e aquisições, o semestre mais rápido já registrado, com 9,1 bilhões de dólares de valor divulgado fora dos megaacordos já anunciados. A leitura é de poucos acordos muito grandes no topo, muitos acordos pequenos na base e um meio que afinou.
- Preço
O múltiplo depende de quem está vendendo e de quem está comprando
No mercado médio baixo, a média fica em 4,3 vezes receita e 11,7 vezes EBITDA. Startup privada forte vai de 12 a 18 vezes receita, nativa de IA passa de 20 vezes, ativo legado fica entre 3 e 6. Fundo de private equity paga de 5 a 8 vezes em fechamento de capital.
- Saída
A bolsa continuou fechada, e a saída foi pelo comprador estratégico
A Visa comprando a BioCatch por 2,4 bilhões de dólares liderou o trimestre em aquisições. A Cyera comprou a Oasis Security por algo perto de 1 bilhão. A única abertura de capital de porte com lastro em capital de risco foi a da Aura, depois da compra da australiana Qoria.
Fontes e aprofundamento
- Crunchbase News · Cybersecurity Investors Put $6.8B To Work In The Third Quarter, Mostly In Larger Rounds, com o total do trimestre, a queda no número de rodadas e as maiores captações e saídas.
- Visa · Visa to Acquire BioCatch, com o valor em dinheiro, o prazo de fechamento e os números de dispositivos, usuários e sessões da BioCatch.
- BERI · Visa Bought BioCatch. Get Neutrality in Writing, com a lacuna de neutralidade, as redes interbancárias de fraude na Argentina e na Austrália e a lista de cláusulas a revisar.
- TI Inside · Detecção de fraude em tempo real é prioridade para 70% dos bancos brasileiros, aponta estudo da BioCatch, com os percentuais do estudo e a comparação entre a média brasileira e a global.
- Windsor Drake · Cybersecurity M&A Report 2026, com a contagem de 219 acordos no semestre, os múltiplos por perfil de ativo e os megaacordos de plataforma.