Cyber Due Diligence em M&A: checklist, red flags e cláusulas do contrato
Checklist de due diligence cibernética e de privacidade por fase do M&A, red flags que afetam o valuation, cláusulas (declarações, indenização, escrow, W&I) e casos como Verizon–Yahoo e Marriott–Starwood.
Pré-LOI: avaliação de fora para dentro
- Histórico público de incidentes — Buscar vazamentos, ataques, multas e processos ligados ao alvo e às marcas dele nos últimos 5 anos.
- Superfície de ataque exposta — Mapear domínios, subdomínios, serviços expostos e certificados para estimar a higiene técnica sem acesso interno.
- Credenciais e dados vazados — Verificar se e-mails corporativos, credenciais ou bases do alvo circulam em vazamentos conhecidos.
- Peso dos dados pessoais no negócio — Entender quanto da receita depende de dados pessoais, sensíveis, de crianças ou financeiros, o que muda o tamanho do risco regulatório.
- Setor e país regulados — Bancos, saúde, telecom, energia e empresas abertas têm regras próprias de cibersegurança e de comunicação de incidentes.
Due diligence no data room
- Governança de segurança — Quem responde por segurança, quanto se investe, como o conselho acompanha e quais frameworks são seguidos (ISO 27001, NIST CSF, SOC 2).
- Registro de incidentes — Todos os incidentes dos últimos 3 a 5 anos, com causa, impacto, comunicação a autoridades e titulares e ações corretivas.
- Testes e vulnerabilidades — Últimos pentests, varreduras e o que ficou sem correção; vulnerabilidades críticas abertas pesam no preço.
- Identidade e acessos — MFA, contas privilegiadas, acessos de ex-funcionários e de fornecedores; é a porta de entrada mais comum.
- Backup e continuidade — Backups isolados e testados, tempo de recuperação e plano de resposta a ransomware.
- Terceiros críticos — Fornecedores de nuvem, software e serviços com acesso a dados ou sistemas, contratos e cláusulas de segurança.
- Seguro cibernético atual — Cobertura, limites, exclusões, sinistros já abertos e se a apólice sobrevive à troca de controle.
Privacidade e regulatório (LGPD, GDPR e outros)
- Bases legais e consentimentos — Dados coletados sem base legal válida podem não ser usáveis pelo comprador, o que afeta sinergias e valuation.
- Encarregado (DPO) e programa de privacidade — Existência de encarregado, políticas, relatórios de impacto e atendimento aos direitos dos titulares.
- Processos e fiscalizações em curso — Processos na ANPD, Procon, Senacon, Ministério Público, autoridades europeias ou FTC, e ações coletivas.
- Transferência internacional de dados — Mecanismos usados para enviar dados ao exterior (cláusulas-padrão, decisões de adequação).
- Regras setoriais — Normas do Banco Central e CMN, ANS, Anatel, CVM, SEC e similares sobre segurança e comunicação de incidentes.
Contrato e preço (SPA)
- Traduzir achados em preço — Custo de correção, multas possíveis e perda de receita entram no valuation ou viram ajuste de preço.
- Declarações e garantias específicas — Declarações sobre incidentes, conformidade com leis de dados e controles mínimos.
- Indenização e retenção — Indenização específica por incidentes anteriores ao fechamento, com escrow ou retenção de parte do preço.
- Seguro W&I e exclusões — Seguradoras costumam excluir riscos cyber conhecidos ou mal diligenciados; confirme o que fica descoberto.
- Condições precedentes — Correção de falhas críticas (por exemplo, MFA em contas privilegiadas) antes do fechamento.
Primeiros 100 dias após o fechamento
- Não conectar redes antes de avaliar — Integrar sistemas sem avaliação pode levar um invasor do alvo para dentro do comprador.
- Caça a ameaças (compromise assessment) — Procurar sinais de invasão já presente, como no caso Starwood, em que o invasor ficou anos sem ser detectado.
- Trocar credenciais e revisar acessos — Rotacionar senhas e chaves privilegiadas e remover acessos de vendedores e ex-funcionários.
- Unificar resposta a incidentes — Um só plano, contatos e prazos de comunicação (ANPD, reguladores, SEC) para o grupo combinado.
- Due diligence contínua — A autoridade britânica disse no caso Marriott que diligência não é exigência única, mas contínua.
Clauses
- Declarações de cibersegurança e privacidade — O vendedor declara que não houve incidentes além dos listados, que cumpre LGPD/GDPR e mantém controles mínimos.
- Indenização específica — Cobre perdas de incidentes ocorridos antes do fechamento, mesmo descobertos depois, sem os limites gerais.
- Escrow ou retenção de preço — Parte do preço fica retida por um prazo para pagar eventuais perdas cyber.
- Ajuste de preço — Mecanismo para reduzir o preço se um incidente relevante for revelado antes do fechamento, como em Verizon–Yahoo.
- Condição precedente de correção — O fechamento depende de corrigir falhas críticas identificadas na diligência.
- Seguro W&I e exclusões cyber — Verificar o que a apólice exclui e cobrir a lacuna com indenização específica ou seguro cyber.
- Cooperação e notificação — Obrigação de avisar rapidamente sobre incidentes entre assinatura e fechamento e de cooperar na resposta.
- Efeito material adverso (MAC) — Definir se um incidente grave permite ao comprador desistir ou renegociar.
Cases
- 2017 · Verizon reduz em US$ 350 mi o preço do Yahoo — Após a revelação de dois vazamentos com mais de 1 bilhão de usuários, o preço caiu para US$ 4,48 bi e as partes passaram a dividir custos jurídicos dos incidentes.
- 2018 · SEC multa Altaba (ex-Yahoo) em US$ 35 mi — Primeira punição da SEC por não divulgar um vazamento: o ataque de 2014 só foi revelado em 2016, e nas negociações com a Verizon o Yahoo teria citado apenas incidentes menores.
- 2020 · Marriott multada em £ 18,4 mi por vazamento herdado da Starwood — O ataque começou em 2014 nos sistemas da Starwood, comprada em 2016, e atingiu até 339 milhões de hóspedes. A autoridade britânica (ICO) reduziu a multa proposta de £ 99,2 mi e afirmou que a diligência não é exigência única.
- 2022 · Autoridade canadense confirma falhas no caso Starwood — O comissário de privacidade do Canadá (OPC) publicou em setembro de 2022 relatório que, em grande parte, concorda com as conclusões da autoridade britânica sobre o vazamento iniciado antes da aquisição.
- 2024 · Marriott paga US$ 52 mi a 50 estados dos EUA — Acordo com 50 procuradores-gerais e com a FTC pelo vazamento da base da Starwood: invasores ficaram sem ser detectados de julho de 2014 a setembro de 2018, atingindo 131,5 milhões de registros de clientes dos EUA.