Sanaz Yashar estava estudando biologia na Universidade de Tel Aviv quando recebeu o chamado: a Unidade 8200, grupo de vigilância cibernética de elite de Israel, queria recrutá-la.

Ela talvez tivesse o histórico mais incomum entre seus pares. Quando era adolescente, Yashar e sua família fugiram de sua casa em Teerã, a capital do Irã – um dos maiores inimigos geopolíticos de Israel –, e emigraram para o país. Seus antecedentes foram parte do atrativo para a 8200 (a versão israelense da Agência de Segurança Nacional): ela entendia o farsi e a cultura iraniana, ambos úteis para coletar inteligência em sua terra natal.

Siga o canal da Forbes e de Forbes Money no WhatsApp e receba as principais notícias sobre negócios, carreira, tecnologia e estilo de vida

Depois de passar 15 anos na inteligência israelense e sete no setor privado, Yashar agora arrecadou US$ 30 milhões para um novo empreendimento chamado Zafran. A startup de cibersegurança tem como objetivo evitar que espiões e criminosos cibernéticos explorem vulnerabilidades conhecidas para invadir as redes das empresas. Ela está mirando em um problema urgente: a média de custo de uma violação de dados para a empresa vítima é de US$ 4,5 milhões, de acordo com dados de 2023 da IBM, e estudos anteriores mostraram que os ciberataques custam à economia global centenas de bilhões todos os anos.

A premissa do Zafran é simples, embora tecnicamente difícil: determinar quais vulnerabilidades digitais existentes são mais urgentes para um cliente específico e depois informar a eles como usar as tecnologias que já possuem para mitigar o risco. A empresa faz isso escaneando a rede da empresa e sondando as interfaces de programação de aplicativos (APIs), para procurar quais controles podem corrigir uma fraqueza específica, diz Yashar.

Leia também:

Como dois ex-espiões tomaram o mercado de US$ 11 bi de seguros cibernéticos

“É quase biologia, é como uma plataforma de autocura”, diz ela, explicando que o produto olha para o “corpo” de cada cliente para determinar como pode melhor repelir infecções.

A ideia surgiu durante uma investigação de um hack de ransomware em um hospital, quando Yashar estava trabalhando na Mandiant, uma empresa de resposta a incidentes cibernéticos. Ela e seus futuros cofundadores, Ben Seri e Snir Havdala, estavam trabalhando em diferentes empresas de segurança, mas investigando o mesmo incidente. Eles não conseguiram recuperar os arquivos da instalação e, mais tarde, ficaram horrorizados ao descobrir que o hospital tinha desde o começo a tecnologia que poderia ter evitado a violação. Eles viram a mesma coisa acontecer repetidamente. “Estou cansada disso”, disse Yashar a Seri. Ele então passou um final de semana elaborando um protótipo do que viria a se tornar o Zafran. O trio renunciou a seus cargos para fundar sua empresa no final de 2022.

Zafran saiu do sigilo nesta quinta-feira (28) e revelou ter até o momento US$ 30 milhões em financiamento de alguns pesos pesados ​​de capital de risco. Doug Leone, um investidor bilionário da Sequoia com histórico de apoio a startups de cibersegurança fundadas em Israel (como Wiz e Cyera), está no conselho. Gili Raanan, criador da lista Midas e fundador da empresa de venture capital israelense Cyberstarts, e seu parceiro Lior Simon também investiram no Zafran, assim como Penny Jar, o fundo de capital de risco do astro do basquete Steph Curry.

“Mitigar ameaças é superdifícil, porque é preciso ter um entendimento profundo da topologia da rede do cliente”, diz Raanan. “Você pode eliminar a ameaça mitigando-a com controles existentes. Essa é uma nova ciência em cibersegurança e é isso que deixa todos tão entusiasmados com o Zafran.”

O foco agora está no crescimento ultrarrápido. A empresa já tem 12 clientes, conta Yashar, incluindo uma organização de saúde. Leone, no entanto, afirma que o foco não é ser a próxima startup bilionária. “O status de unicórnio é uma métrica de vaidade”, diz o membro do conselho, que comandou a Sequoia por mais de 25 anos. “Isso desvia o foco. O próximo passo que precisamos dar é desenvolver um modelo de vendas repetível e com velocidade.”

A startup está entrando em uma indústria de cibersegurança saturada de empresas que afirmam ser capazes de proteger as empresas de ameaças online iminentes – e que querem abocanhar uma fatia desse mercado de US$ 1 trilhão. O Zafran terá que convencer os executivos de segurança de que seu produto realmente ajudará a conter a incessante onda de incidentes de segurança cibernética que outros não conseguiram.

“As empresas investiram muito em tecnologias de detecção, resposta e prevenção, e ainda assim vemos violações”, diz Erik Nost, analista sênior da Forrester. Novas tecnologias precisam corresponder à hiperescala e velocidade com que os criminosos cibernéticos e espiões digitais estão se movendo hoje, ressalta.

De espiã a fundadora de uma startup de cibersegurança

Yashar conhece bem o ritmo em que os hackers podem se mover. Na Unidade 8200, onde se tornou oficial em 2004, ela selecionava alvos estrangeiros e decidia como monitorá-los. “Ela é uma grande pensadora fora da caixa, muito criativa”, diz o ex-comandante da 8200 Ehud Schneorson. “Isso se deve em parte ao fato de ela ter vindo de uma cultura diferente… mas também porque ela era uma recém-chegada em Israel e queria se provar.”

Na metade dos anos 2010, Yashar estava procurando uma saída do serviço militar e se juntou à Cybereason, uma nova empresa do ex-aluno da 8200 Lior Div – que chegaria a valer US$ 2,7 bilhões em 2021, embora desde então tenha visto uma debandada de funcionários (incluindo Div) e uma redução de 90% em seu valuation. Ali, Yashar comandava desde 2016 a equipe de inteligência cibernética, pesquisando alguns dos hacks mais importantes do mundo.

Em 2017, isso a levou ao epicentro do que se tornaria um dos ataques cibernéticos mais devastadores da história: o NotPetya, um malware virulento e destrutivo projetado para derrubar vítimas, que incluíam gigantes corporativos (como o escritório de advocacia DLA Piper e a empresa global de transporte Maersk). Yashar liderou os esforços da Cybereason na Ucrânia, epicentro dos ataques, para entender o malware, e fez uma descoberta crucial logo após chegar a Kiev: o NotPetya tinha um interruptor de desligamento. Qualquer pessoa infectada com o malware poderia essencialmente desligá-lo, e o código não podia mais se espalhar ou criptografar arquivos. A equipe da iraniana depois trabalhou com a Cyber Police da Ucrânia, enquanto tentava desvendar o código do malware e sua origem.

“Encontramos todos os backdoors russos. Foi uma loucura”, ela lembra. Em outubro de 2020, o Departamento de Justiça dos EUA culpou espiões russos trabalhando na diretoria de inteligência GRU pelos ataques do NotPetya.

Durante seus cinco anos na Mandiant, comprada em 2022 pelo Google por US$ 5,4 bilhões, ela voltou a focar no Irã, pesquisando o APT33, um grupo que há muito tempo tem como alvo importantes empresas aeroespaciais e petroquímicas. “Eles são muito poderosos”, diz ela. “Os encontrei em mais de cinco organizações, incluindo as de infraestrutura crítica.”

Poucos fundadores de startups de segurança de primeira viagem podem reivindicar uma experiência tão profunda e diversificada. “Ela passou a maior parte da vida adulta no centro do entendimento do que os adversários estão fazendo”, diz seu antigo chefe da Cybereason, Div. “Ela é legítima”.

O post Quem é a ex-espiã que arrecadou US$ 30 milhões para sua startup de cibersegurança apareceu primeiro em Forbes Brasil.