O negócio que o Bank of America acabou de fechar

O Bank of America informou, a 30 de julho de 2026, que vai adquirir a MDSec Consulting Limited, uma consultora britânica de segurança da informação com sede em Macclesfield, Inglaterra, no noroeste do país, perto de Manchester e Chester. A MDSec emprega cerca de 65 especialistas altamente técnicos em testes de intrusão, exercícios de red team, simulação de adversários e investigação de ameaças. O Bank of America não revelou os termos financeiros da operação, cuja conclusão é esperada no quarto trimestre de 2026, sujeita a aprovação regulatória. A própria assessoria de imprensa do banco descreveu-a como a sua primeira aquisição em cinco anos.

Kris Fador, responsável pela segurança da informação do Bank of America, enquadrou o negócio em torno da reputação da empresa adquirida: "Há muito que admiramos a capacidade excecional da equipa da MDSec e estamos satisfeitos por o Bank of America e os seus clientes passarem agora a beneficiar ainda mais do seu trabalho." O cofundador da MDSec, Dominic Chell, descreveu o passo do lado do vendedor como um ajuste tanto cultural como financeiro: "Integrar uma das principais instituições financeiras do mundo, que reflete a nossa cultura de inovação e excelência técnica, dá-nos uma oportunidade incrível."

Comprar competência de red team em vez de a construir

Os grandes bancos regulados trataram historicamente os testes de segurança ofensiva, ou seja, contratar especialistas para atacar os próprios sistemas antes de um criminoso o fazer, como um serviço a comprar por projeto ou uma competência a fazer crescer lentamente internamente. O Bank of America já opera um centro substancial de operações contra ameaças cibernéticas na vizinha Chester, com mais de 1400 colaboradores na região, pelo que o banco não parte do zero em efetivos de segurança. O que muda é o método: em vez de publicar vagas ou investir mais um ano em formação interna, o banco comprou uma equipa de red team já estabelecida, com as suas relações com clientes, o seu pipeline de investigação e a sua reputação intactos.

Essa escolha é o verdadeiro sinal. Uma cultura de testes de intrusão e red team, o instinto de pensar como um atacante em vez de apenas corrigir falhas conhecidas, é difícil de construir dentro de uma instituição grande e avessa ao risco ao ritmo normal de contratação. Adquirir uma firma como a MDSec compra anos de pensamento adversarial acumulado numa única operação, e compra-o já formado, não a meio do treino. O facto de uma instituição sem aquisições há cinco anos ter dedicado o seu primeiro negócio precisamente a talento de segurança ofensiva, e não a um produto, uma plataforma ou uma posição de mercado, diz claramente em que competência o banco se considerava deficitário.

A pressão da IA que sobe a fasquia dos testes de intrusão

O pano de fundo deste negócio é uma mudança naquilo que os atacantes conseguem fazer. As ferramentas assistidas por IA baixam o custo de encontrar vulnerabilidades, automatizam o reconhecimento e geram material convincente de engenharia social num volume que ultrapassa o que a maioria das equipas internas de segurança testava há apenas dois anos. A SecurityWeek e outros órgãos de comunicação que cobriram o negócio da MDSec colocaram-no dentro de uma vaga mais ampla de bancos e instituições financeiras a reavaliar as suas defesas cibernéticas, à medida que as ferramentas de ataque ficam mais baratas e rápidas de usar. Testes de intrusão internos que eram "suficientemente bons" contra um único atacante humano são uma fasquia mais fraca perante ferramentas capazes de percorrer continuamente variantes de ataque.

Por isso, este negócio lê-se como mais do que uma contratação isolada. Ter uma equipa de red team própria e sempre disponível, em vez de a contratar para um único exercício anual, permite a uma instituição testar-se continuamente contra uma ameaça em evolução, em vez de tirar uma fotografia das suas defesas uma vez por ano e esperar que o intervalo entre testes não faça diferença. Para qualquer organização cujos testes de segurança ainda sigam um ciclo anual ou semestral, o ritmo de desenvolvimento de ataques impulsionado pela IA é o argumento para transformar os testes de segurança ofensiva de uma auditoria periódica numa competência interna permanente.

O que isto significa para quem dirige, ou compete com, uma boutique de pentest

A forma mais útil de ler este negócio não é como uma transação isolada, mas como um dado precoce de um padrão que provavelmente se vai repetir. As grandes instituições reguladas, bancos, seguradoras e a infraestrutura dos mercados financeiros à sua volta, estão sob a mesma pressão competitiva e regulatória a que o Bank of America aqui responde; em Portugal, o Banco de Portugal exige a instituições como o Millennium bcp uma defesa cibernética igualmente testada e atualizada, e poucas instituições conseguem construir internamente uma cultura madura de segurança ofensiva ao ritmo que a evolução das ferramentas de ataque exige. Adquirir uma boutique estabelecida de pentest ou red team, com a sua metodologia, os seus investigadores seniores e a confiança dos seus clientes, é mais rápido do que contratar especialista a especialista. Os donos de MSSP de média dimensão e de consultoras boutique europeias de segurança devem entender este negócio como o sinal de que são um alvo de aquisição plausível para um grande comprador regulado, não hipotético.

O outro lado deste sinal dirige-se aos CISO de instituições concorrentes. Se a competência em segurança ofensiva passar a ser algo que bancos e seguradoras equiparáveis possuem por inteiro em vez de alugar ocasionalmente, a fasquia interna de "testamos adequadamente as nossas próprias defesas" sobe para todos os que são medidos em relação a esse grupo de pares. Um CISO cuja organização ainda trata os testes de intrusão como um exercício anual de conformidade deve esperar que essa comparação se torne menos confortável à medida que mais instituições do setor tragam a competência para dentro de casa.

Leia a seguir: A aposta de 3 mil milhões da Nvidia é na rede elétrica  |  A frota de robotáxis de Londres passa agora a funcionar através de uma única empresa