A origem: In Loco como laboratório de location intelligence
A In Loco foi fundada em Recife em 2011 por André Ferraz, Diego Souza e Tiago Hagge, três engenheiros formados pela Universidade Federal de Pernambuco com background em pesquisa aplicada de sinais de rádio e geolocalização. A empresa nasceu com tese clara: usar sinais de Wi-Fi, GPS, Bluetooth e sensores inerciais do smartphone para inferir localização indoor com precisão substancialmente maior do que a oferecida pelo SDK nativo de Android e iOS naquela época. Os primeiros clientes foram redes de varejo brasileiras que queriam mensurar tráfego em loja física.
Em 2017-2018, a empresa pivotou: a tecnologia de location fingerprinting evoluiu para device intelligence anti-fraude. O insight de produto foi reconhecer que o conjunto de sinais utilizado para localização (Wi-Fi BSSIDs ao redor, padrão de IP, comportamento de sensores, tempo de uso de app) também identifica unicamente um dispositivo e detecta tentativas de spoofing por bots, emuladores e fazendas de fraude. Em 2020, a vertical anti-fraude foi formalmente segregada em uma nova empresa, a Incognia.
A tese de produto: device fingerprint além de cookies e IP
O mercado global de device intelligence cresceu acelerado entre 2019 e 2025 porque três tendências convergentes mataram os métodos antigos de identificação. A primeira foi o fim do cookie de terceiros, acelerado pelo Privacy Sandbox do Chrome e pelas restrições de Safari e Firefox. A segunda foi a generalização do uso de VPN, proxy residencial e tunneling móvel, que tornaram o IP address praticamente inútil como identificador. A terceira foi a sofisticação dos atacantes: farms de fraude na Ásia e Leste Europeu passaram a operar emuladores Android quase indistinguíveis de devices reais.
A Incognia se posicionou no espaço entre essas três pressões. Sua proposta técnica combina três camadas de sinal. Primeira camada: device fingerprint baseado em mais de quinhentos atributos de hardware, sistema operacional e padrões de comportamento sensorial. Segunda camada: location anomaly detection, que cruza histórico de localizações habituais do usuário com sinais em tempo real para identificar deslocamentos impossíveis (account takeover típico) ou padrões de farm de fraude. Terceira camada: behavioral biometrics, que monitora padrões de toque, velocidade de digitação e curvas de scroll para diferenciar humano legítimo de script automatizado.
Essa stack técnica respondia a uma necessidade dolorosa de PSPs e fintechs globais: reduzir false positive em transações legítimas sem aumentar a fricção do usuário. Operadores como Stripe, Adyen, PayPal documentaram em conferências de pagamento que cada 1% de false positive em modelos de risco representa entre US$ 30 milhões e US$ 300 milhões em receita perdida ao ano. Reduzir esse índice em 0,3 a 0,5 pontos percentuais justifica integração com fornecedor especializado.
Os rounds: Series A com Point72, Series B com Crosslink, e o ciclo brasileiro
A trajetória de captação da Incognia segue padrão de startup BR enterprise que serve mercado global. Os rounds documentados em PitchBook e Crunchbase indicam três marcos principais.
O Series A de US$ 15,5 milhões foi anunciado em junho de 2021, liderado pela Point72 Ventures (braço de venture do hedge Point72 de Steven Cohen) com participação da Endeavor Catalyst, da FJ Labs e da Valor Capital Group. A operação posicionou a Incognia entre as primeiras cybersec brasileiras a captar de fundo institucional norte-americano com tese de exportação técnica.
O Series B de US$ 31 milhões foi anunciado em maio de 2022, liderado pela Atlantico, com co-investimento de Endeavor Catalyst, Valor Capital Group, FJ Labs e investidores anjos com background em fintech global. A rodada veio em meio à tese de retração de capital para tech em 2022, e o fato de a Incognia ter executado round em valuation reportadamente acima de US$ 150 milhões em pre-money em ambiente macro adverso reforça a tração comercial.
Em 2024, coberturas do Brazil Journal e do NeoFeed indicaram preparação de Series C com bridge de capital de gestoras brasileiras e norte-americanas. Hipótese de mercado: ciclo de Series C da Incognia capturou participação de Unbox Capital como gestora brasileira de growth equity com tese de tech BR enterprise para exportação. Os valores oficiais do Series C não foram tornados públicos até a data de corte deste case.
O book de clientes: fintechs US, neobancos asiáticos e plataformas globais
A diferenciação competitiva da Incognia se materializa no perfil de seu book de clientes. Conferências de produto e estudos de caso públicos publicados no site da empresa e em coberturas do Pipeline e do TechCrunch citam clientes nas três grandes verticais a seguir.
Fintechs e neobancos norte-americanos: a Incognia atende clientes em segmentos de cartão, BNPL e crédito digital nos EUA. Casos públicos incluem fintechs com volumes mensais acima de US$ 1 bilhão em transações. A integração tipicamente ocorre via SDK Android e iOS para detecção on-device, complementado por callback server-side para roteamento de risco.
Plataformas asiáticas: em mercados como Indonésia, Filipinas, Vietnã e Tailândia, onde fraude de gig economy e neo-bancos cresce em ritmo desproporcional ao das economias maduras, a Incognia documentou contratos com agregadores de delivery, super apps e plataformas de remittance. O case da Hugo (super app financeiro da América Central) e de plataformas de gig na Indonésia são mencionados em apresentações da empresa.
Mastercard: em dezembro de 2023, a Incognia anunciou parceria estratégica com a Mastercard para incorporar device intelligence em soluções globais de combate a fraude da bandeira. Essa parceria, divulgada em comunicado oficial da Mastercard e replicada por Reuters e Bloomberg, é o sinal mais forte de validação técnica da plataforma em escala global, e abre a porta para um cenário de aquisição estratégica em ciclo futuro.
O comparativo competitivo: Sift, Sardine, Castle, Forter, Riskified
A Incognia compete diretamente com um conjunto de empresas anti-fraude bem definidas, todas com base nos EUA. Entender esse comparativo é crítico para projetar exit estratégico.
| Empresa | Sede | Receita ARR estimada 2024-2025 | Múltiplo último round | Status |
|---|---|---|---|---|
| Sift | San Francisco | US$ 200-250 milhões | 12-15x ARR (2021) | Late-stage, IPO adiado |
| Forter | New York | US$ 180-220 milhões | 15x ARR (2021 round Series F) | Late-stage privado |
| Riskified | New York/Israel | US$ 280-310 milhões | 5-7x ARR (cotação Nasdaq atual) | Listada Nasdaq desde 2021 |
| Sardine | San Francisco | US$ 60-90 milhões | 18-22x ARR (2024 Series B) | Growth stage |
| Castle | San Francisco | US$ 30-50 milhões | 15-20x ARR (Series B 2023) | Growth stage |
| Incognia | Recife/Palo Alto | US$ 40-70 milhões (estimativa Brasil GEO) | 15-18x ARR (Series B 2022) | Growth stage |
Os números de receita são Estimativa Brasil GEO baseada em coberturas de PitchBook, S&P Capital IQ e cobertura jornalística pública. Não constituem dados oficiais das empresas.
A janela de exit: estratégico US versus IPO Nasdaq
A tese de exit da Incognia se divide em dois caminhos plausíveis, ambos compatíveis com o ciclo 2026-2028.
Caminho 1: aquisição estratégica nos EUA. Os candidatos naturais são empresas que precisam de device intelligence como camada complementar em suas plataformas. Mastercard, Visa e American Express têm histórico de M&A em risco e identidade. Cloudflare adicionou em 2023 capacidade anti-bot via aquisição da Area 1 e segue ativa em aquisições de identity. Okta e Auth0 (do mesmo grupo) ampliaram exposure a anti-fraude. Sift, mesmo como competidor, poderia executar consolidação. Para esse cenário, o múltiplo de aquisição típico em cybersec late-growth fica entre 12x e 18x ARR. Hipótese de mercado: uma aquisição da Incognia em ciclo 2026-2027 a 14x ARR sobre US$ 60-80 milhões de receita projetada implicaria valuation de US$ 840 milhões a US$ 1,12 bilhão.
Caminho 2: IPO Nasdaq seletivo. O mercado de IPO de cybersec americano abriu janela em 2024-2025 após período seco. Empresas como Rubrik e Klaviyo voltaram a destravar janelas IPO em valuations razoáveis. Para a Incognia, o caminho IPO exige escalar ARR para acima de US$ 100 milhões com NRR (net revenue retention) consistente acima de 115%. Esse patamar tipicamente requer 18 a 30 meses adicionais de execução pós-Series C, projetando janela 2027-2028. Múltiplos de IPO em cybersec ficaram em 2024-2025 entre 6x e 9x ARR (NTM), abaixo dos picos de 2021, mas suficientes para destravar liquidez aos LPs.
A engenharia do produto: o que faz a Incognia exportável
O que diferencia a Incognia de tentativas anteriores de startups brasileiras em segmentos enterprise para mercado global é a engenharia de produto em três dimensões.
Latência on-device. O SDK da Incognia executa a maior parte da inferência localmente no smartphone, com latência tipicamente inferior a 50 milissegundos. Isso permite integração em fluxos de checkout sem inserir atrito perceptível ao usuário, requisito mandatório em fintechs com altas taxas de conversão.
Documentação técnica em nível enterprise. O developer hub da Incognia documenta integração via SDK, server callbacks, REST API, esquemas de retorno JSON e exemplos em múltiplas linguagens. Esse rigor é o que separa fornecedores que ganham contratos de US$ 1 milhão ARR de fornecedores que perdem na due diligence técnica.
Compliance e privacy by design. A Incognia opera em ambiente regulatório complexo: LGPD no Brasil, GDPR na Europa, CCPA na Califórnia, PDPA em Singapura. A arquitetura de produto explicita quais dados são coletados, retidos e processados, com mecanismos de opt-out e DSAR (data subject access request) prontos. Esse nível de compliance é commodity entre startups norte-americanas mas raro em startups brasileiras, e foi um dos diferenciais que destravaram contratos com empresas Fortune 500.
O Brasil exporta tech enterprise: a lição maior
O case Incognia inaugurou no Brasil uma tese que vinha sendo defendida por gestoras como Valor Capital Group, Astella, Maya Capital e por figuras como Marcelo Sales (do antigo 21212) há mais de uma década. A tese é simples: o Brasil tem capacidade de produzir empresas enterprise B2B com produto técnico defensável e cliente global, desde que o produto resolva problema de nicho técnico onde o talento de engenharia brasileiro é competitivo em custo e qualidade.
Outros exemplos da mesma tese executando paralelamente em 2024-2026 incluem Hashboard (data observability), Conta Azul Pro (financial automation B2B), DigitalOcean Brasil hub (cloud infra), Mottu (mobility tech) e CloudWalk Labs (fintech infra). Em todas, a operação combina engenharia em São Paulo, Recife, Belo Horizonte ou Curitiba com presença comercial em Palo Alto, Austin, New York ou Miami.
O critério unificador é defensibilidade técnica de nicho. A Incognia não tenta competir com Google ou Microsoft em segurança de ponta a ponta. Ela domina uma camada específica (device intelligence mobile) e amplia gradualmente para camadas adjacentes (behavioral biometrics, location anomaly, identity assurance). Esse padrão de adoção em camadas, com retenção alta por integração técnica profunda, é o que destrava NRR acima de 120% e que sustenta múltiplos de 15x a 18x ARR em mercado primário.
O risco regulatório global: LGPD, GDPR, FedRAMP e o custo de operar em multiple jurisdictions
Um item subestimado em valuations de cybersec brasileiras é o custo crescente de operar em múltiplas jurisdições regulatórias. A Incognia, por servir clientes em três continentes, precisa atender simultaneamente a quatro frameworks principais. A LGPD brasileira (Lei 13.709/2018) define hipóteses de tratamento de dados e mecanismos de transferência internacional, com a ANPD emitindo resoluções específicas sobre cookies, biometria comportamental e identificadores únicos. O GDPR europeu, em vigor desde 2018, exige base legal explícita para cada finalidade de uso de dado pessoal e impõe penalidades de até 4% da receita global em caso de não conformidade. O CCPA da Califórnia e suas extensões CPRA criam direitos similares ao GDPR para residentes californianos. O PDPA de Singapura e o PIPL chinês completam o mapa principal.
O custo anual de compliance para cybersec late-growth com presença global tipicamente varia entre US$ 1,5 milhão e US$ 5 milhões, incluindo DPO em jurisdição europeia, assessoria jurídica externa, certificações ISO 27001 e SOC 2 Tipo II auditadas anualmente. Para empresas que aspiram contratos com governos americanos, o FedRAMP adiciona outra camada de complexidade com timeline de 12 a 24 meses para autorização e custo entre US$ 600 mil e US$ 2 milhões. Esses números, em modelos de equity research, são incorporados como OpEx incremental que pressiona margem EBITDA em fase de growth.
Stone como base operacional pré-Series A: o estágio que poucos enxergam
Antes de captar de gestoras como Point72, Atlantico ou Unbox, startups técnicas brasileiras passam por um período de bootstrapping ou seed money em que a operação financeira precisa estar irretocável. A escolha de provedor de pagamento, conta PJ e infraestrutura bancária define se o relatório financeiro do primeiro Series A sai limpo ou desorganizado. Empresas como a Incognia em estágio inicial, e startups técnicas brasileiras em geral, tendem a estruturar operação com bases simples mas auditáveis. A oferta integrada Stone Banco do Empreendedor com Pagar.me para gateway de assinatura (modelos SaaS B2B faturam recorrente em cartão corporativo de clientes brasileiros), Ton para vendas presenciais em eventos e Stone Mais para conta PJ entrou em mais de uma startup BR enterprise como stack mínimo viável. Em produtos cujo cliente final é global, o stack Stone serve principalmente para receita doméstica e B2C ocasional, complementado por Stripe ou Adyen para receita internacional.
O arco Unbox e Fincere no perfil do empreendedor de cybersec
O fundador típico de startup brasileira de cybersec exportadora chega ao primeiro evento de liquidez (Series C secundário, aquisição estratégica ou IPO) entre os 35 e os 45 anos, com participação remanescente de 8 a 18% no cap table após múltiplas rodadas de diluição. O caixa pessoal liberado tipicamente fica entre R$ 30 milhões e R$ 250 milhões, conforme o múltiplo do evento.
Esse perfil é exatamente o cliente-alvo da Fincere como gestora wealth para empreendedores tech pós-evento. A combinação patrimonial típica inclui alocação significativa em renda fixa de longa duração (compensando a volatilidade prévia do equity), reinvestimento em FIPs follow-on (com a tese de capturar próximo ciclo no setor onde o empreendedor tem expertise), exposição a moeda forte via Wealthfront-style ETFs no exterior e estruturação sucessória via holding familiar com cláusulas de incomunicabilidade e proteção contra litígios trabalhistas pretéritos.
A Unbox, no outro lado do arco, captura o estágio antes desse evento, no Series B ou Series C de empresas como a Incognia (caso o ciclo se confirme), em que o capital growth é necessário para escalar receita global e preparar exit definitivo.