Empresa que simula invasões antes dos hackers recebe R$ 8 milhões para escalar e dobrar receita

Um ataque que antes poderia exigir semanas de trabalho de um especialista em cibersegurança agora pode ser simulado em poucas horas por inteligência artificial. É nesse intervalo que a Vultus quer construir sua próxima fase de crescimento.

A companhia brasileira de cibersegurança recebeu um aporte de R$ 8 milhões para acelerar o desenvolvimento de tecnologia própria e ampliar a participação de softwares no negócio. A meta é dobrar a receita em três anos, ao mesmo tempo em que reduz a dependência de um modelo baseado essencialmente em horas de consultoria.

Hoje, a Vultus tem 65 funcionários e 95 projetos em andamento. A mudança de estratégia, no entanto, passa menos por multiplicar esse quadro e mais por fazer a tecnologiaassumir uma parcela maior do trabalho.

O principal produto dessa nova fase é o Ares, plataforma que utiliza inteligência artificial para simular ataques contra os sistemas dos próprios clientes e encontrar vulnerabilidades antes que elas sejam exploradas por criminosos.

Na prática, a Vultus tenta automatizar parte do trabalho de um hacker — só que com autorização da empresa atacada.

“Se antes, para cada projeto que entrava, eu precisava de uma pessoa, hoje, para cada dez projetos, talvez eu precise de uma”, afirma Alexandre Brum, CEO da Vultus.

“A nossa capacidade de crescimento da operação, independentemente de capital humano, foi muito facilitada.”

Como funciona uma invasão feita pela própria empresa

O cliente acessa a plataforma, cadastra o sistema ou ambiente que quer testar e comprova que é responsável pelo domínio. A partir daí, agentes de inteligência artificial começam a procurar formas de entrar naquele ambiente.

A lógica é semelhante à de um teste de intrusão tradicional, conhecido no setor como pentest. Especialistas tentam explorar vulnerabilidades do sistema como um criminoso faria, mas em um ambiente controlado e com autorização do proprietário.

A diferença está principalmente na velocidade e na capacidade de repetir o processo.

Segundo Brum, um ciclo que poderia levar cerca de 30 dias em um teste convencional pode ser realizado pelo Ares em seis horas, dependendo da complexidade e do tamanho do ambiente analisado. Em alguns casos, o processo pode se estender por oito, dez ou 12 horas.

Ao final, a plataforma entrega um relatório com as vulnerabilidades encontradas, as informações técnicas necessárias para corrigi-las e uma análise voltada aos executivos.

A ideia é não apenas informar que determinado código contém uma falha, mas traduzir o problema para o negócio: qual é o risco de manter aquela vulnerabilidade aberta e se faz sentido gastar dinheiro para corrigi-la imediatamente.

“Não existe uma decisão certa ou errada. Existe um risco que você quer assumir ou não”, diz Brum. “O executivo precisa ter o insumo necessário para tomar essa decisão.”

Apesar da autonomia da ferramenta, a operação continua sendo acompanhada por especialistas. Se a inteligência artificial identifica uma ação considerada crítica, um alerta é enviado para que um analista avalie se o teste pode avançar.

Por que a inteligência artificial mudou a estratégia

A Vultus não começou como uma empresa de software.

Sua origem está na GC Security, companhia especializada em serviços técnicos de cibersegurança, como testes de intrusão, monitoramento de sistemas e inteligência de ameaças. A aproximação com a consultoria Falconi começou por volta de 2020.

Brum estava na Falconi quando foi convidado, no início de 2021, para atuar na GC Security. Formado em Direito, ele havia passado pela administração pública no Rio de Janeiroantes de migrar para a iniciativa privada e trabalhar durante quase cinco anos na consultoria.

Na época, segundo o executivo, um dos desafios era transformar discussões altamente técnicas em informações capazes de chegar ao presidente ou ao conselho de uma companhia.

Em vez de explicar a um CEO o funcionamento de uma vulnerabilidade em um banco de dados, a proposta passou a ser mostrar quanto uma paralisação poderia custar ao negócio.

Paralelamente, a Falconi estruturou uma área de cibersegurança voltada principalmente a governança, processos e gestão, que posteriormente se tornou a Trust Cybersecurity.

GC Security e Trust passaram alguns anos trabalhando em paralelo. No segundo semestre de 2024, as operações foram reunidas e passaram a atuar sob a marca Vultus.

Quando a nova companhia foi anunciada, em setembro daquele ano, ela nasceu com faturamento aproximado de R$ 35 milhões, mais de 70 clientes e cerca de 200 projetos em execução. Naquele momento, o plano divulgado era ultrapassar R$ 100 milhões em receita em quatro anos.

Segundo Brum, a Falconi realizou seu exit entre o fim de 2025, e a companhia hoje opera de maneira independente.

Por que deixar de ser apenas uma consultoria

A mudança começou a ganhar força quando os executivos perceberam que a inteligência artificial não estava alterando apenas a defesa das empresas. Ela também começava a mudar o outro lado da disputa.

Ferramentas capazes de automatizar tarefas passaram a permitir que criminosos procurem vulnerabilidades, explorem brechas e avancem sobre sistemas com uma necessidade menor de intervenção humana.

“A gente quase passou a ter um dilema existencial”, diz Brum. “A cibersegurança não poderia continuar sendo feita da forma como era feita até então.”

A conclusão foi que a própria defesa precisava ganhar escala. Foi nesse contexto que a Vultus começou a sair de um modelo 100% concentrado em consultoria para uma combinação de serviços especializados e produtos tecnológicos.

O Ares integra uma plataforma mais ampla chamada Olympus, que reúne diferentes módulos de cibersegurança desenvolvidos pela companhia.

O movimento é também financeiro. Em uma consultoria tradicional, conquistar mais contratos costuma exigir a contratação de mais profissionais. Ao transformar parte desse trabalho em software, a empresa espera aumentar a receita sem fazer os custos avançarem na mesma proporção.

Há despesas adicionais, principalmente relacionadas ao uso dos modelos de inteligência artificial e ao consumo de tokens. Ainda assim, a expectativa da companhia é conseguir ampliar as margens à medida que a participação dos produtos crescer.

“A gente está migrando de um modelo de consultoria para consultoria mais produto, caminhando para produto”, afirma Brum.

Para onde vão os R$ 8 milhões

O aporte recebido pela Vultus será direcionado principalmente ao desenvolvimento de tecnologia proprietária e à expansão do portfólio de software.

A entrada do novo investidor também acompanha uma reorganização da companhia, com mudanças na estrutura societária e nos conselhos de Administração e Consultivo.

O objetivo é usar os recursos para acelerar uma transformação que já começou internamente: fazer com que a experiência acumulada pelos especialistas da Vultus em ataques simulados, inteligência de ameaças e gestão de riscos possa ser reproduzida por tecnologia.

Quanto maior a parcela automatizada, maior também a quantidade de clientes que a companhia poderá atender sem ampliar a estrutura na mesma proporção.

Quem são os clientes da Vultus

A Vultus não divulga a lista completa de clientes por questões de confidencialidade, mas possui cases públicos com companhias como Unidas, Arezzo e MV.

Os setores financeiro, de telecomunicações e de serviços representam algumas das principais áreas da carteira, embora a companhia também trabalhe com empresas de indústria e logística, entre outros segmentos.

Brum afirma que, somado, o faturamento das empresas atendidas pela Vultus chega a aproximadamente R$ 1 trilhão. O número é utilizado pela companhia como uma forma de dimensionar a relevância econômica de sua carteira e não representa, naturalmente, receita da própria Vultus.

A ambição agora é usar essa relação com grandes empresas para acelerar a adoção dos produtos.

A consultoria, portanto, não deve desaparecer. Ela continua servindo como porta de entrada para clientes e como fonte do conhecimento técnico utilizado no desenvolvimento das ferramentas. A diferença é que a companhia quer depender menos da quantidade de especialistas disponíveis para determinar quanto consegue crescer.

Para Brum, a mudança acompanha o próprio adversário.

“Eu preciso ganhar escala na minha operação porque o atacante está ganhando escala também.”