Flex contrata US$ 3,3 bilhões em dívida de um ano oito dias após ser listada por grupo de ransomware

Três logins da Okta, depois a listagem no site de vazamentos

Em 18 de setembro de 2026, três logins de funcionários do serviço de identidade Okta da Flex surgiram em logs criminais de stealer↗, num lote de 21 registros de credenciais ligados ao domínio flex.com que apareceram entre 18 e 21 de setembro ¹. Três dias depois, o grupo de ransomware MetaEncryptor listou a Flex, fabricante de eletrônicos por contrato listada na Nasdaq, em seu site de vazamentos↗ ¹². A SOCRadar, que expôs as credenciais, contabilizou 20 vítimas do grupo nos 60 dias anteriores e considerou a Flex a alegação mais relevante envolvendo uma fabricante nesse período ¹.

Oito dias depois, US$ 3,3 bilhões em papel de um ano

Em 29 de setembro, oito dias após a listagem, a Flex assinou o braço financeiro de sua virada em direção à energia para IA: um empréstimo a prazo sênior de US$ 3,3 bilhões, com o Citibank como agente administrativo↗, sem saque na assinatura e com vencimento 364 dias após a liberação dos recursos, regido por um teto de dívida/EBITDA de 4,50x e por um piso de cobertura de juros de 3,00x ⁵. O The Inference noticiou esse financiamento em 4 de outubro; o que se segue é o registro de setembro que aquela reportagem — e todos os documentos que a embasam — omitem.

O empréstimo abate dólar por dólar um empréstimo-ponte de US$ 4,4 bilhões↗ do Citigroup e do Bank of America, que garante a compra integralmente em dinheiro da EPC Power, fabricante de equipamentos de conversão de energia que deve contabilizar cerca de US$ 800 milhões de receita em 2026 e com destino à unidade que a Flex planeja desmembrar no primeiro trimestre de 2027 ³⁴⁵. No trimestre anterior à assinatura, a dívida da Flex somava US$ 5,93 bilhões — alta de 39% na comparação anual —, enquanto o fluxo de caixa livre despencou 85%, para US$ 41 milhões ¹¹.

Nenhuma linha sobre o caso nos documentos que os investidores leem

Lidos na íntegra, os dois formulários 8-K descrevem o financiamento e seus riscos ao longo de páginas de ressalvas sobre o desmembramento; nenhum dos dois contém as palavras ransomware, violação ou cibersegurança ³⁵. O índice da Flex no EDGAR↗ não mostra nenhum relatório de incidente de cibersegurança no Item 1.05, o formulário que uma empresa listada entrega quando um ataque se torna relevante ⁶. A cobertura jornalística que se seguiu ao empréstimo repetiu as condições e parou por aí ⁷⁸. O contrato de crédito precifica a alavancagem da Flex até a segunda casa decimal; o registro público precifica seu risco cibernético em zero.

Vinte e um registros e uma gangue no terceiro nome

O lote de credenciais se divide em três logins da Okta, um login de um sistema de inovação de uma subsidiária da Flextronics, um login do painel administrativo do site corporativo, oito credenciais de funcionários reutilizadas em plataformas SaaS de terceiros e oito usuários externos nesse painel ¹. O acesso à Okta importa porque um único login pode destravar todos os ambientes de nuvem conectados. Foi por isso que a SOCRadar ligou a coincidência de datas à listagem, apontando esses acessos como provável via de invasão — uma inferência que a própria empresa apresenta como tal ¹.

A marca não é nova: o MetaEncryptor surgiu em 2022, parou de adicionar vítimas em julho de 2023, e pesquisadores ligaram seu layout de site de vazamentos e seu criptografador ao rebranding para LostTrust↗ antes de o nome ressurgir ¹⁰. Quatro dias antes da Flex, o mesmo nome reivindicou a AECOM e 1,22 terabyte de dados, sem confirmação, atraindo uma investigação para ação coletiva↗ em três dias ⁹.

Por que isso pode não ser nada

Listagens em site de vazamentos são alegações extorsivas, não evidências. A própria ressalva da SOCRadar admite que nem sempre é possível verificá-las ¹. Até 4 de outubro, nem o alerta da SOCRadar nem a postagem do DailyDarkWeb davam conta de dados publicados da Flex; os dois remetem à única listagem, a de 21 de setembro ¹². A Flex pode ter rotacionado os logins e seguido em frente; se foi isso, os comunicados à SEC estavam completos e a lacuna está apenas no marketing da gangue.

Onde isso se resolve

O fechamento da compra da EPC, previsto para o quarto trimestre, e o formulário 10 que a futura companhia desmembrada já protocolou sob o nome Axiom Solutions International vão precificar por conta própria a perna de dívida da operação ³⁵. O que daria preço ao buraco cibernético seria um vazamento de dados ou uma contagem regressiva do MetaEncryptor, um comunicado de Item 1.05 ou linguagem nova de risco no 10-Q que chega junto com os resultados de outubro; a reescrita completa dos fatores de risco aguarda o 10-K, por volta de maio de 2027 ⁶. Observe o site de vazamentos e o índice do EDGAR; um dos dois se mexe primeiro.