Quando o dano reputacional de um incidente vira perda de valor na bolsa

A Estée Lauder confirmou em julho de 2026 ter sido vítima de um incidente de segurança que expôs dados de clientes e funcionários, quase um ano depois de o acesso não autorizado ter ocorrido. A investigação da própria companhia concluiu que invasores entraram em seu ambiente Oracle E-Business Suite por volta de 9 de agosto de 2025, explorando a falha CVE-2025-61882 — uma vulnerabilidade de dia zero, aquela desconhecida do próprio fabricante no momento do ataque.

Em notificações a autoridades norte-americanas, a fabricante de cosméticos detalhou que números de seguro social, dados financeiros, identificadores governamentais e registros de saúde estavam entre as informações acessadas, e passou a oferecer 24 meses de monitoramento de identidade. O episódio integra a onda de ataques do grupo Cl0p contra usuários do Oracle E-Business Suite e expõe o intervalo — de meses — entre a brecha e o momento em que ela alcança o mercado e a imprensa.

EY mede a queda das ações em 90 dias

Companhias atingidas por incidentes cibernéticos perdem, em média, 0,9% do valor das ações nos primeiros 30 dias, 1,3% em 60 dias e 1,5% ao fim de 90 dias. Os números são de estudo da EY que aplicou um modelo de diferença em diferenças a 96 empresas do índice Russell 3000, todas com valor de mercado de ao menos US$ 1 bilhão, atingidas entre 2021 e 2024.

"As ameaças cibernéticas, quando consumadas, trazem perdas financeiras e de reputação efetivas cada vez maiores", disse Márcia Bolesina, sócia-líder de cibersegurança da EY, ao avaliar que os efeitos são semelhantes no Brasil. O levantamento também aponta que 84% das empresas ouvidas sofreram algum incidente no período — sinal de que o dano reputacional deixou de ser exceção e virou variável recorrente na conta de risco de quem opera com capital exposto.

Jaguar Land Rover e M&S contam o prejuízo

A Jaguar Land Rover parou fábricas por cerca de seis semanas após o ataque anunciado em 2 de setembro de 2025. No trimestre encerrado em 30 de setembro, a montadora registrou prejuízo de £485 milhões, ante lucro de £398 milhões um ano antes, e estimou em £196 milhões (US$ 220 milhões) o custo direto do incidente. O efeito extrapolou a empresa: relatórios calculam perdas de cerca de £1,9 bilhão para a economia britânica, atingindo mais de 5 mil organizações da cadeia.

Semanas antes, a varejista Marks & Spencer havia interrompido pedidos on-line após um ataque no fim de semana da Páscoa, com efeito estimado em cerca de £300 milhões no lucro operacional e custo aproximado de US$ 400 milhões. Os dois casos mostram como a interrupção da operação e a perda de confiança convertem um problema técnico em rombo contábil visível ao investidor.

Cemig leva o incidente ao mercado no Brasil

No dia 14 de maio de 2026, a Cemig publicou fato relevante — comunicação obrigatória de evento capaz de influir na cotação — informando a exposição de dados de cerca de 135 mil clientes. Nome, CPF, endereço, e-mail, telefone e valor de fatura estavam entre os dados acessados em um ambiente operado por parceiro responsável pelo atendimento; segundo a companhia, sem comprometimento de senhas ou dados bancários.

A distribuidora comunicou o incidente à Agência Nacional de Proteção de Dados, à Aneel e à autoridade policial, e notificou individualmente os titulares afetados. O caso une duas frentes que costumam correr separadas: o dever de comunicar incidentes de segurança à Agência e aos titulares, previsto no art. 48 da LGPD, e a obrigação, perante a Comissão de Valores Mobiliários, de informar ao mercado o que pode mexer no preço da ação.

O dever de informar investidores e titulares

A Resolução CVM 44/2021 trata como fato relevante qualquer evento que possa influir de modo ponderável na cotação dos valores mobiliários ou na decisão dos investidores de comprar, vender ou manter esses papéis — categoria em que um incidente cibernético com efeito financeiro e reputacional se encaixa. A companhia aberta precisa avaliar a materialidade do evento e divulgá-lo, sob pena de responder por omissão perante o regulador.

Nos Estados Unidos, a regra da SEC obriga empresas listadas a reportar incidentes materiais em até quatro dias úteis da constatação de materialidade, via formulário 8-K, considerando repercussões de longo prazo como a reputação — não apenas o número de registros vazados. Para o agente de tratamento no Brasil, o art. 48 da LGPD acrescenta a essa exposição o dever de comunicar à Agência Nacional de Proteção de Dados e aos titulares os incidentes que possam acarretar risco ou dano relevante.

A reputação custa mais que a queda inicial

O tombo imediato do papel não é o pior custo. Levantamento reunido pela Sustainalytics e estudos acadêmicos sobre a reação do mercado a ciberataques indicam que a queda tende a se aprofundar semanas após o anúncio e que parte das empresas segue abaixo de seus pares um ano depois. Análises de risco estimam que a perda de reputação chega a representar a maior fatia do custo total de uma violação em companhias de grande porte.

A leitura não é unânime: parte dos estudos aponta recuperação mais rápida do preço quando a empresa responde com transparência e plano de contenção, enquanto outros veem o dano reputacional se traduzir em perda silenciosa de clientes e de valor de marca, difícil de capturar no gráfico do dia seguinte. O ponto comum é que o mercado passou a precificar a resposta ao incidente — governança, comunicação e prazo — tanto quanto o incidente em si.