Segurança na integração pós-fusão: os 100 primeiros dias

No dia seguinte ao closing, o mapa de risco muda de dono. A due diligence respondeu, com as limitações de acesso típicas do pré-deal, se o negócio valia o preço. A partir da assinatura, a pergunta é outra: quanto custa operar, sob a sua responsabilidade, um ambiente que você ainda não conhece por dentro? Duas empresas com posturas de segurança desiguais passam a coexistir conectadas, os atacantes leem os mesmos anúncios públicos que o mercado, e a responsabilidade legal pelos dados herdados já é do comprador.

Não é alarmismo. O FBI alertou formalmente, em 2021, que operadores de ransomware usam eventos financeiros relevantes, incluindo fusões e aquisições, para selecionar alvos e calibrar a extorsão. Casos como Marriott/Starwood e Verizon/Yahoo mostram, em libras e dólares, o preço de herdar um ambiente comprometido. E a maioria dos decisores de TI ouvidos em pesquisa da Forescout relata já ter visto um incidente crítico colocar um deal em risco.

Este guia organiza os primeiros 100 dias da integração em três fases, 0-30, 30-60 e 60-100, com prioridades claras para o CISO e para o executivo de M&A. Ele é o complemento pós-closing do nosso guia de cyber due diligence em M&A, que cobre a avaliação pré-deal e não será repetido aqui.

Por que o pós-closing é a hora mais perigosa do deal

Em 1º de novembro de 2021, o FBI publicou a Private Industry Notification "Ransomware Actors Use Significant Financial Events and Stock Valuation to Facilitate Targeting and Extortion of Victims". A avaliação do órgão é direta: é muito provável que operadores de ransomware usem eventos financeiros significativos, como fusões e aquisições, para escolher vítimas e aumentar a pressão pelo pagamento. O documento traz exemplos concretos: entre março e julho de 2020, pelo menos três companhias abertas americanas em processo de M&A foram atacadas com ransomware durante as próprias negociações, duas delas em tratativas ainda privadas. Em uma negociação de resgate de março de 2020, os atacantes ameaçaram "vazar os dados para a NASDAQ" para derrubar as ações da vítima. E, em abril de 2021, o grupo DarkSide anunciou em seu blog que forneceria informações sobre vítimas listadas em bolsa antes da divulgação pública, para que interessados lucrassem com a queda das ações.

A lógica do atacante é simples: o anúncio de uma fusão é público, e diz exatamente quando a vítima está mais frágil e mais disposta a pagar. Durante a integração, redes passam a ser interligadas, equipes de TI ficam sobrecarregadas com projetos de migração, sistemas convivem em duplicidade e a liderança tem tolerância zero a indisponibilidade, porque cada dia de integração parada custa sinergia. É o cenário perfeito para extorsão.

A mesma pesquisa registra que 65% dos respondentes já experimentaram arrependimento do comprador, o chamado buyer's remorse, por questões de cibersegurança descobertas depois do fechamento. O risco não é hipotético nem raro: é estatisticamente o cenário mais comum.

O custo do ambiente herdado: Marriott e Yahoo

Dois casos viraram referência obrigatória em qualquer discussão de cibersegurança em M&A. O primeiro é o da Marriott. Os sistemas da Starwood estavam comprometidos desde 2014; a Marriott adquiriu a rede em 2016 e só detectou a intrusão em setembro de 2018. Foram cerca de dois anos operando com o atacante dentro do ambiente herdado, sob a marca e a responsabilidade do comprador. O incidente expôs aproximadamente 339 milhões de registros de hóspedes no mundo, e o ICO, a autoridade britânica de proteção de dados, multou a Marriott em £18,4 milhões em 30 de outubro de 2020.

O segundo caso mostra o efeito no preço do deal. Durante a negociação da venda do negócio principal do Yahoo para a Verizon, vieram a público dois megavazamentos históricos da empresa. Resultado: em fevereiro de 2017, as partes emendaram o acordo, reduzindo o preço em US$ 350 milhões, de cerca de US$ 4,83 bilhões para US$ 4,48 bilhões, e dividindo meio a meio determinados passivos pós-closing ligados aos incidentes, como investigações governamentais não relacionadas à SEC e litígios de terceiros. O risco cibernético deixou de ser abstração e virou linha de ajuste de preço em contrato.

A lição comum dos dois casos: a due diligence, por melhor que seja, trabalha com acesso limitado e não encontra tudo. O atacante da Starwood atravessou a due diligence da Marriott sem ser notado. Por isso a integração começa com verificação ativa do ambiente herdado, e não com a presunção de que o relatório pré-deal esgotou o assunto.

Os seis riscos técnicos clássicos da integração

Os problemas que aparecem nos primeiros meses pós-closing se repetem de deal para deal. Seis merecem lugar fixo no plano de integração:

• Identidades e diretórios: a fusão apressada de Active Directory e provedores de identidade, com trusts amplos criados para "destravar a integração", dá a um atacante presente em um dos lados o caminho para o outro. Identidades não humanas, como contas de serviço, tokens e chaves de API, raramente aparecem no inventário do vendedor, um problema que tratamos no guia de governança de identidades não humanas.
• Contas órfãs e acessos de desligados: reestruturações pós-fusão geram ondas de desligamento, e contas ativas de ex-funcionários e ex-prestadores são um dos vetores de intrusão mais explorados.
• Fusão de redes sem segmentação: conectar as redes de forma direta para acelerar sinergias estende qualquer comprometimento existente na adquirida para o grupo inteiro.
• Shadow IT e shadow AI herdados: tudo o que a adquirida usa sem aprovação formal, de SaaS a ferramentas de IA generativa, não aparece em inventário oficial nenhum, como mostramos na análise de shadow AI nas empresas.
• Terceiros herdados: cada contrato da adquirida traz fornecedores com acesso a dados e sistemas que nunca passaram pelo seu processo de gestão de risco de terceiros.
• Legado e dívida técnica: sistemas fora de suporte, sem patch, mantidos "até a migração", que na prática leva de 12 a 18 meses para chegar.

Dias 0-30: visibilidade e contenção

A premissa da primeira fase é desconfortável e necessária: trate o ambiente adquirido como potencialmente comprometido até prova em contrário. As prioridades:

• Inventário próprio de ativos e identidades: descoberta ativa no ambiente adquirido, com suas ferramentas, e não a planilha entregue pelo vendedor. Inclua identidades não humanas, acessos remotos e serviços expostos à internet.
• Segmentação temporária: todo acesso entre os dois ambientes passa por canais controlados e inspecionados. Nada de rede plana entre as empresas nas primeiras semanas.
• MFA imediato: autenticação multifator em acessos remotos, e-mail e contas privilegiadas do ambiente adquirido, antes de qualquer outra harmonização.
• Threat hunt no ambiente herdado: uma caçada dedicada a sinais de persistência, contas anômalas e exfiltração. É a resposta direta à lição Marriott: se há um atacante instalado, é agora que ele precisa ser encontrado.
• Congelamento e higiene de privilégios: congele mudanças de alto risco, revise acessos administrativos e desative contas de desligados no dia do desligamento.
• Alerta antifraude: a janela pós-anúncio é alta temporada de spear phishing temático de M&A contra funcionários das duas empresas, com pretextos de "integração", "novo RH" e "novo faturamento".

Aviso: não estabeleça trust permanente entre diretórios nem conecte as redes de forma ampla antes de o threat hunt do ambiente adquirido terminar. É a forma mais rápida de transformar o comprometimento da adquirida no seu.

Dias 30-60: harmonização

Com visibilidade estabelecida e o ambiente validado, a segunda fase alinha pessoas, políticas e processos:

• Consolidação de identidades: defina o provedor de identidade alvo, use trusts com prazo de expiração e limpe contas órfãs e identidades não humanas antes de migrar. Migrar lixo é perpetuá-lo com um crachá novo.
• Baseline de políticas: compare as políticas das duas casas, senhas, patch, backup, hardening, resposta a incidentes, e adote a mais rígida como padrão do grupo. Exceções só documentadas e com prazo.
• Terceiros herdados: faça a triagem dos fornecedores da adquirida por criticidade de acesso e dado, e renegocie ou encerre contratos com cláusulas de segurança defasadas.
• Plano de resposta unificado: um comando, uma lista de contatos, um playbook. Rode uma simulação de mesa conjunta antes do dia 60; a pior hora para descobrir que os times de resposta não se conhecem é durante o incidente.

Vale calibrar a expectativa com a experiência de mercado: a EY, que aponta a cibersegurança entre os principais desafios de integração citados por CIOs em M&A, lembra que os primeiros 100 dias resolvem apenas o crítico, e que a integração completa de ambientes leva de 12 a 18 meses. Os 100 dias não terminam o trabalho; eles impedem que o trabalho comece com um desastre.

Dias 60-100: convergência e governança

A terceira fase transforma o esforço tático em estrutura permanente:

• Roadmap de descomissionamento: cada sistema duplicado ou legado ganha dono, data e destino. O que permanecer além dos 100 dias entra no registro de riscos com aceite formal, não como pendência invisível.
• Métricas ao conselho: cobertura de MFA, contas órfãs remanescentes, sistemas fora do baseline, terceiros reavaliados e achados do threat hunt. O Cyber-Risk Oversight Handbook da NACD, associação americana de conselheiros de administração, inclui um toolkit específico de cibersegurança em M&A com perguntas por fase do deal; conselhos brasileiros podem usá-lo como roteiro de cobrança.
• LGPD operacionalizada: registro de operações de tratamento (ROPA) unificado, bases legais revisadas para os dados herdados, encarregado definido para o grupo e fluxo único de resposta a titulares e à ANPD.
• Governança contínua: o programa de governança, risco e conformidade do grupo absorve formalmente a adquirida, com apetite de risco, indicadores e ciclo de auditoria comuns.

Contexto Brasil: volume de deals, LGPD e instituições financeiras

O tema é menos exótico no Brasil do que parece. O mercado local de M&A segue ativo e concentrado justamente no setor que mais carrega risco cibernético embutido.

No plano jurídico, a transferência de dados pessoais em operações societárias costuma se apoiar no legítimo interesse (art. 7º, IX, da LGPD), com avaliação documentada. O ponto que executivos de M&A subestimam: não existe carência pós-closing. A responsabilidade pelos dados herdados acompanha o controle do tratamento desde o primeiro dia, a LGPD prevê responsabilidade solidária entre agentes de tratamento, e as sanções da ANPD chegam a 2% do faturamento, com teto de R$ 50 milhões por infração. A ANPD não publicou guidance específico para M&A, e isso não é alívio: a lei se aplica integralmente à operação, e a autoridade fiscaliza.

No setor financeiro, a régua sobe. A aquisição de uma instituição financeira passa pelo Banco Central na aprovação da transferência de controle societário, e a obrigação cibernética é contínua: a Resolução CMN 4.893/2021, atualizada pela Resolução CMN 5.274/2025, publicada em 18/12/2025 com prazo de adequação até 01/03/2026, exige política de segurança cibernética, gestão e comunicação de incidentes e controles sobre serviços relevantes contratados. O ambiente herdado numa aquisição de IF ou fintech regulada precisa convergir para esses requisitos dentro do plano de integração, com evidências auditáveis, tema que detalhamos na análise da regulação de resiliência cibernética do Banco Central.

Perguntas Frequentes

Conclusao

A janela entre o closing e a integração completa é o período em que o comprador tem responsabilidade máxima e visibilidade mínima. É exatamente essa assimetria que o FBI descreve como oportunidade para o atacante, e que Marriott e Yahoo pagaram em multa e em desconto de preço. Estruturar os primeiros 100 dias em três fases converte essa exposição em plano executável: visibilidade e contenção primeiro, harmonização depois, convergência e governança por fim.

Para o CISO, o sinal de maturidade é chegar ao dia 100 com inventário completo, threat hunt concluído, identidades consolidadas, resposta unificada e um relatório ao conselho que trate o risco herdado com a mesma seriedade que o financeiro. Para o executivo de M&A, é entender que o deal não termina no closing: termina quando o ambiente comprado passa a operar sob a mesma postura de segurança de quem o comprou.