Commvault supera previsões, mas ação cai com guidance tímido

A Commvault divulgou nesta terça-feira (27) os números do segundo trimestre do ano fiscal de 2027, encerrado em 30 de setembro, e viu as ações caírem no pregão da Nasdaq mesmo depois de superar as estimativas. O lucro por ação ajustado foi de US$ 1,38, acima do consenso de US$ 1,24 compilado pelo Investing.com. A receita somou US$ 312,39 milhões, contra US$ 310,24 milhões esperados.

O indicador que a empresa usa para medir o negócio de assinaturas, a receita recorrente anualizada (ARR), chegou a US$ 1,104 bilhão, alta de 20% em doze meses, segundo o comunicado. A parte SaaS dessa receita cresceu 35%, para US$ 454 milhões.

O número que o mercado puniu

A nova ARR líquida de assinaturas foi de US$ 51 milhões em moeda constante. Na teleconferência, a empresa detalhou que US$ 30 milhões vieram do SaaS e US$ 21 milhões de licenças de software por prazo determinado. Para o ano fiscal, a Commvault elevou a projeção de ARR de assinaturas para a faixa de US$ 1,205 bilhão a US$ 1,215 bilhão, com ponto médio de US$ 1,210 bilhão, ante US$ 1,205 bilhão na estimativa anterior.

Um aumento de US$ 5 milhões no ponto médio, depois de um trimestre acima do esperado, foi lido como cautela. Investidores que haviam levado a ação para cima nas semanas anteriores esperavam uma revisão maior. A intensidade da queda variou ao longo do pregão conforme a fonte consultada.

A leitura oposta tem defensores. Uma revisão modesta para cima, com SaaS crescendo 35%, indica que a migração da base instalada para a nuvem segue no ritmo que a própria companhia vinha sinalizando. A queda diz mais sobre o preço que o mercado já havia embutido do que sobre a demanda. Para quem acompanha a Commvault como termômetro do orçamento de resiliência cibernética das empresas, o trimestre mostra demanda firme e crescimento sem aceleração.

A demanda que vem do ransomware

O contexto em que a Commvault vende ficou mais nítido nas últimas semanas, sobretudo no Japão. A IDC Frontier, subsidiária da SoftBank, teve sua nuvem IDCF Cloud atacada por ransomware em 7 de outubro, com impacto sobre 495 empresas e governos locais. No relatório divulgado em 14 de outubro, a provedora informou que as cópias de snapshot podiam ser recuperadas para 194 desses clientes, os que haviam contratado a função. Os demais dependiam de backups próprios.

Na mesma janela, a GMO Internet suspendeu o serviço Onamae.com Desktop Cloud depois de identificar um programa malicioso em servidores de clientes, com até 26.739 servidores potencialmente afetados, segundo a empresa. A primeira-ministra Sanae Takaichi ordenou em 26 de outubro que o gabinete montasse um pacote emergencial de medidas de cibersegurança em cerca de uma semana.

Nenhum desses episódios envolve a Commvault, e a empresa não os citou nos resultados. Mas eles ilustram o argumento central do setor de backup e recuperação: quando o próprio provedor de nuvem é o alvo, a cópia que salva a operação é a que está fora do alcance do invasor.

A leitura para compradores nos EUA, no Japão e no Brasil

Nos Estados Unidos, principal mercado da Commvault e de concorrentes como Rubrik, Veeam e Cohesity, o trimestre confirma que o gasto com resiliência resiste mesmo quando o orçamento de TI é disputado por projetos de IA. A pressão do investidor está no ritmo, não na existência da demanda.

No Japão, o episódio da IDC Frontier transforma backup em pauta de conselho. A diferença entre 194 clientes com snapshot recuperável e os demais 301 é exatamente a cláusula que diretores de TI japoneses vão revisar nos contratos de nuvem doméstica nos próximos meses, agora com o governo prometendo medidas.

No Brasil, a Resolução CD/ANPD nº 15, de 2024, exige comunicação de incidentes de segurança com dados pessoais em até três dias úteis. Para operadores de nuvem e provedores de hospedagem locais, um evento como o da IDCF Cloud colocaria centenas de controladores diante do mesmo prazo ao mesmo tempo, dependendo das informações de um único fornecedor.

A Commvault não informou na terça se a onda de ataques a provedores de nuvem já aparece em contratos assinados. Enquanto isso não estiver nos números, o termômetro que o investidor escolheu é a velocidade da nova ARR, não o tamanho da base: para chegar ao ponto médio de US$ 1,210 bilhão a partir dos US$ 1,104 bilhão atuais, a empresa precisa adicionar cerca de US$ 106 milhões em dois trimestres, pouco acima do ritmo de US$ 51 milhões que acabou de entregar.