Podíamos começar pela tecnologia e estratégia da empresa. Mas é impossível. É impossível porque, ao deambular pela Surfshark, que ocupa um generoso espaço na Cyber City, em Vilnius, capital da Lituânia, encontramos uma sala de música com guitarras, bateria e piano. E um ginásio onde os colaboradores podem agendar aulas ou treinar sozinhos. Há uma sala para pais e crianças e até um simulador de Fórmula 1. Pelo caminho encontram-se mesas de pingue-pongue, bilhar e matraquilhos. Há também obras de jovens artistas lituanos, adquiridas numa fase inicial das suas carreiras, e uma arquitectura pensada para juntar pessoas: no edifício da Nord Security, empresa com a qual se fundiu em 2021, quando há grandes eventos, quem trabalha nos pisos superiores só precisa de sair para as varandas interiores para assistir.
A história desta cidade ciber é curiosa e vai-se construindo com pequenos pormenores. A Cyber City ocupa o espaço da ‘lendária’ Sparta, uma fábrica de meias entretanto transformada num complexo tecnológico que reúne empresas nascidas sob o mesmo acelerador, a Tesonet. A concentração de tecnológicas tornou-se suficientemente visível para chegar à própria cidade: depois de a Vinted se ter tornado o primeiro unicórnio da Lituânia e de Surfshark e Nord Security terem alcançado essa valorização, uma paragem de transportes da zona passou a ostentar uma referência aos «unicórnios».
Fusão com Nord Security foi um marco
Agora sim, a empresa e o negócio. A Surfshark nasceu em 2018 com uma VPN. No ano seguinte, lançou o seu primeiro grande projecto de investigação, o Digital Quality of Life Study, e abriu um escritório em Kaunas, segunda maior cidade do país. Em 2020 já tinha 85 trabalhadores e, em 2021, lançou a Incogni, dedicada à remoção de dados pessoais, e fundiu-se com a Nord Security. Um ano depois, as duas empresas tornavam-se, em conjunto, o segundo unicórnio da Lituânia.
Seguiram-se a mudança para a Cyber City, em 2023, e uma segunda ronda de investimento que duplicou a valorização do grupo para três mil milhões de dólares. Em 2024, a Surfshark chegou aos três milhões de utilizadores e adquiriu a Ironwall. Em 2025, lançou a HeyPolo, cresceu para cerca de 500 trabalhadores distribuídos por três localizações e, juntamente com a Nord Security, ultrapassou mil milhões de euros de receitas brutas anuais.
Mas os números contam apenas parte da transformação. A empresa que começou por vender uma VPN está a tentar reposicionar-se como fornecedora de um conjunto mais alargado de ferramentas de segurança. «Não queremos construir apenas uma ferramenta, queremos construir todo o ecossistema», explicou Dominykas Šimkus, Senior Product Manager da Surfshark, num ‘media day’ que a empresa proporcionou à businessIT. VPN, antivírus, bloqueio de anúncios, alertas de fugas de dados, protecção de identidade e ferramentas contra fraudes fazem hoje parte desse universo. A ambição é também retirar complexidade à cibersegurança: «Não é apenas para os tech geeks. Esperamos que toda a gente se proteja online. Por isso, queremos desenhar [os produtos] de uma forma simples e compreensível».
Antes de o ataque acontecer
Há uma mudança de filosofia por detrás desta expansão. Em vez de esperar que o utilizador procure ajuda depois de sofrer um ataque, a Surfshark quer intervir antes. «Queremos que [os produtos] funcionem silenciosamente em segundo plano e façam todo o trabalho por mim», resume Dominykas Šimkus, explicando que a prioridade está a passar da reacção para a prevenção. As fraudes são uma das grandes apostas deste ano. Em Agosto, a empresa lançou para Android e iOS uma funcionalidade de protecção de mensagens de texto que procura sinais suspeitos nas mensagens recebidas, analisando URL, conteúdo e número de origem. Quando detecta uma possível fraude, alerta o utilizador antes de este interagir com a mensagem. Em pouco mais de um mês, segundo Dominykas Šimkus, tinham sido identificadas perto de 300 mil mensagens potencialmente fraudulentas.
Algumas funcionalidades começam por ser testadas nos Estados Unidos, o maior mercado da Surfshark, embora Dominykas Šimkus sublinhe que a estratégia não passa por experimentar sempre naquele país. «Pode ser a Ásia. Pode ser a Europa». No caso das ferramentas ligadas à fraude e ao roubo de identidade, a disponibilidade de dados e a dimensão do problema norte-americano pesaram na escolha. A questão é convencer as pessoas a pagar por algo cujo benefício idealmente nunca chegam a ver: o ataque que não aconteceu. Questionado pela businessIT sobre o que leva um consumidor a investir efectivamente na sua segurança online, Dominykas Šimkus fala numa nova forma de «higiene digital». Os grandes casos de fraude, as perdas financeiras e as fugas de informação estão, no seu entender, a alterar a percepção do risco. «As pessoas estão a tornar-se cada vez mais conscientes de que precisam de se proteger».
Apagar o rasto
Se a Surfshark procura impedir que o utilizador seja atacado, a Incogni parte de outro problema: a quantidade de informação que cada pessoa já deixou espalhada pela Internet. «Os seus dados pessoais estão neste momento a financiar um mercado de milhares de milhões de dólares gerido por data brokers», explica Benediktas Grybauskas, product owner da Incogni. E não se trata apenas do nome, morada ou email. Alguns data brokers, afirma, chegam a possuir «entre 100 e 200 pontos de dados» sobre uma pessoa, que podem incluir interesses, características físicas ou hábitos. A IA tornou essa informação potencialmente mais valiosa para quem pretende utilizá-la mal. «Acabaram-se aqueles emails mal escritos e cheios de erros. Agora é muito sofisticado», diz Benediktas Grybauskas, apontando para deepfakes, clonagem de voz e ataques cada vez mais direccionados. Na sua perspectiva, aquilo que há cinco anos poderia ser um serviço de nicho para utilizadores tecnologicamente mais informados está a aproximar-se de uma necessidade generalizada.
A Incogni diz cobrir mais de 420 data brokers e repetir os pedidos de remoção aproximadamente a cada dois meses, dados que foram objecto de uma avaliação independente da Deloitte. A evolução seguinte passa por tentar encontrar proactivamente novas exposições dos utilizadores e utilizar machine learning para reduzir a intervenção necessária. Mas Benediktas Grybauskas deixa uma ressalva: «Podemos remover a informação de todos os brokers do mundo, mas não vamos sentir qualquer efeito se os nossos hábitos não mudarem». Para o responsável, parte do trabalho passa também por ensinar os utilizadores a deixar menos informação pessoal exposta.
Da segurança digital à família
A expansão mais recente leva a Surfshark para um território diferente. Lançada comercialmente em 2025, a HeyPolo é uma aplicação de segurança familiar e partilha de localização que Šarūnas Šereika, Senior Product Manager, descreve como a passagem da segurança digital para a «segurança física». A diferença que procura introduzir está precisamente na privacidade. «O nosso objectivo é que não seja necessário ter um ponto no mapa, mas apenas saber que as pessoas de quem gostamos estão seguras», explica Šarūnas Šereika. O utilizador pode partilhar a localização exacta, indicar apenas a zona aproximada onde se encontra ou manter-se em modo privado.
A aplicação já inclui alertas de chegada e partida, SOS, detecção de acidentes através dos sensores do telemóvel e uma pontuação de segurança na condução, que considera comportamentos como excesso de velocidade, travagens e acelerações bruscas ou utilização do telefone ao volante. «Tentamos ajudar as famílias a manterem-se ligadas», resume Šarūnas Šereika, «ao mesmo tempo que respeitamos a independência e a privacidade de cada pessoa».
Portugal entre milhões de dados expostos
É também a partir da Lituânia que uma equipa da Surfshark procura medir a dimensão dos riscos digitais. No Research Hub, o português Luís Costa, research lead da Surfshark, apresentou à businessIT dados específicos sobre Portugal: desde 2004 terão sido expostos cerca de 253,1 milhões de registos pessoais, incluindo 43,6 milhões de palavras-passe. Foram identificados 20,6 milhões de endereços de email únicos associados a fugas de informação, o equivalente, segundo os cálculos apresentados, a uma média de 3,9 exposições por endereço. Portugal surge em 12.º lugar na Europa e em oitavo na União Europeia neste levantamento. Luís Costa estima ainda que 54% dos utilizadores afectados estejam em risco de situações como tomada de controlo de contas, roubo de identidade ou extorsão.
Entre os casos analisados está a fuga de dados da TAP, em 2022, associada a 6,1 milhões de endereços de email únicos e a informação como nomes, datas de nascimento, números de telefone e moradas. Mais recentemente, o Research Hub registou um incidente nos CTT, em Abril deste ano, envolvendo perto de meio milhão de endereços de email e dados que incluíam nomes, telefones e números de seguimento de encomendas. É precisamente a combinação destes elementos que, alerta Luís Costa, permite construir fraudes muito mais convincentes.
