6 de outubro de 2026

Ninguém sabe dizer em que dia um computador quântico será capaz de quebrar a criptografia que hoje protege certificados digitais, VPNs e assinaturas eletrônicas. Ainda assim, reguladores e a própria indústria já trabalham com datas: 2030 para começar a abandonar os algoritmos vulneráveis e 2035 para encerrar o seu uso. A incerteza sobre o “quando” não elimina a certeza sobre o “quanto tempo a migração leva”, e é nessa diferença que mora o risco para quem toma decisões de segurança. Neste artigo, explicamos por que nem toda criptografia é afetada da mesma forma, como saber se sua organização já está atrasada, o que dizem os cronogramas oficiais e por que o gargalo real é a visibilidade. O alerta do Febraban Tech e por que ele vale para qualquer setor Durante o Febraban Tech, realizado em agosto de 2026, Enrique Vargas, diretor de desenvolvimento de negócios e parcerias para as Américas da IBM Quantum, afirmou que não é possível determinar quando os computadores quânticos serão capazes de quebrar os modelos atuais de criptografia. Segundo a cobertura do TI Rio, ele indicou que o alerta deve ser acionado a partir de 2030, com uma possível zona de risco por volta de 2035. O ponto central, porém, não é a data. É o que pode acontecer antes dela. De acordo com o NIST, dados criptografados hoje com algoritmos convencionais podem ser roubados e decifrados mais tarde, quando computadores quânticos estiverem disponíveis. A prática é conhecida no mercado como harvest now, decrypt later (coletar agora, decifrar depois): o atacante não precisa da máquina quântica hoje, apenas de armazenamento e paciência. Para informações com longa vida útil, como dados de saúde, contratos, propriedade intelectual e cadastros de clientes, o comprometimento pode começar a acontecer agora, ainda que a descriptografia só ocorra anos depois. Nem toda criptografia quebra igual A ameaça quântica não atinge todos os algoritmos com a mesma intensidade, e essa distinção evita tanto o pânico quanto a complacência. De um lado está a criptografia assimétrica, ou de chave pública: RSA, criptografia de curvas elípticas (ECC) e Diffie-Hellman. É a base do TLS que protege sites e APIs, das VPNs, dos certificados digitais e das assinaturas de software e de documentos. Essas construções dependem de problemas matemáticos, como a fatoração de números grandes, que o algoritmo de Shor resolve de forma eficiente em um computador quântico suficientemente poderoso. Não se trata de enfraquecer o algoritmo, mas de derrubá-lo por completo. Do outro lado está a criptografia simétrica e as funções de hash, como AES e SHA. Segundo o relatório NISTIR 8105, do próprio NIST, o algoritmo de Grover oferece apenas um ganho quadrático na busca por chaves e, se ele vier a ser praticamente relevante, dobrar o tamanho da chave é suficiente para preservar a segurança. Na prática, o AES-256 mantém margem confortável, e a migração para esse lado do problema é bem mais simples. Essa distinção importa porque a barreira para o ataque vem caindo. Um estudo publicado no arXiv em maio de 2025 estimou que uma chave RSA de 2048 bits poderia ser fatorada em menos de uma semana por um computador com menos de um milhão de qubits ruidosos, cerca de 20 vezes menos que a estimativa de 2019 do mesmo autor. É uma estimativa sob premissas específicas, e nenhuma máquina atual chega perto disso, mas mostra que o horizonte de risco depende também de avanços em algoritmos, não só em hardware. A conta que mostra por que sua empresa pode estar atrasada hoje Existe uma forma objetiva de transformar incerteza em prioridade, conhecida na comunidade de criptografia como desigualdade de Mosca, em referência ao pesquisador Michele Mosca. A lógica é direta: se o tempo durante o qual um dado precisa permanecer secreto, somado ao tempo que a organização levará para migrar seus algoritmos, for maior que o tempo até a existência de um computador quântico criptograficamente relevante, a empresa já está em atraso. Um exemplo ilustrativo, com números hipotéticos: imagine uma informação que precisa permanecer confidencial por 15 anos e uma migração que leve 7 anos entre inventário, testes, fornecedores e substituição de sistemas legados. A soma, 22 anos, ultrapassa 2035 com folga. O risco parece distante no calendário, mas a decisão que evita o problema precisa ser tomada agora. Como, em grandes organizações, a criptografia está distribuída por servidores, aplicações, certificados, APIs, equipamentos de rede e sistemas antigos, a transição é longa por natureza, conforme aponta o TI Rio. O calendário regulatório já está escrito A discussão saiu do campo teórico. Em agosto de 2024, o NIST publicou os três primeiros padrões de criptografia pós-quântica finalizados: FIPS 203 (ML-KEM), para troca de chaves, e FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA), para assinaturas digitais. Em novembro do mesmo ano, o instituto divulgou o rascunho do relatório NIST IR 8547, que propõe tornar obsoletos, após 2030, os algoritmos de chave pública vulneráveis com nível de segurança de 112 bits, como RSA-2048, e proibir todos eles após 2035. Vale registrar que o documento segue como proposta, mas já funciona como referência de planejamento. O Reino Unido foi mais explícito quanto a etapas. O NCSC, agência nacional de cibersegurança britânica, orienta que as organizações concluam a fase de descoberta e planejamento até 2028, executem as migrações de maior prioridade até 2031 e finalizem a transição de todos os sistemas até 2035. Na União Europeia, o roteiro coordenado pelo Grupo de Cooperação NIS, publicado em junho de 2025, prevê estratégias nacionais e inventários criptográficos iniciais até o fim de 2026, transição de casos de alto risco até 2030 e de casos de risco médio até 2035, conforme registrado por veículos especializados em computação quântica. Nos Estados Unidos, a CISA publicou em 2024 sua estratégia de inventário automatizado de criptografia, priorizando ativos com dados que seguirão sensíveis em 2035. No Brasil, o movimento também é concreto. Segundo o Instituto Nacional de Tecnologia da Informação (ITI), a Instrução Normativa ITI nº 35, de janeiro de 2026, incorporou algoritmos pós-quânticos, como ML-DSA e ML-KEM, aos