Ninguém sabe dizer em que dia um computador quântico será capaz de quebrar a criptografia que hoje protege certificados digitais, VPNs e assinaturas eletrônicas. Ainda assim, reguladores e a própria indústria já trabalham com datas: 2030 para começar a abandonar os algoritmos vulneráveis e 2035 para encerrar o seu uso. A incerteza sobre o “quando” não elimina a certeza sobre o “quanto tempo a migração leva”, e é nessa diferença que mora o risco para quem toma decisões de segurança.
Neste artigo, explicamos por que nem toda criptografia é afetada da mesma forma, como saber se sua organização já está atrasada, o que dizem os cronogramas oficiais e por que o gargalo real é a visibilidade.
O alerta do Febraban Tech e por que ele vale para qualquer setor
Durante o Febraban Tech, realizado em agosto de 2026, Enrique Vargas, diretor de desenvolvimento de negócios e parcerias para as Américas da IBM Quantum, afirmou que não é possível determinar quando os computadores quânticos serão capazes de quebrar os modelos atuais de criptografia. Segundo a cobertura do TI Rio, ele indicou que o alerta deve ser acionado a partir de 2030, com uma possível zona de risco por volta de 2035.
O ponto central, porém, não é a data. É o que pode acontecer antes dela. De acordo com o NIST, dados criptografados hoje com algoritmos convencionais podem ser roubados e decifrados mais tarde, quando computadores quânticos estiverem disponíveis. A prática é conhecida no mercado como harvest now, decrypt later (coletar agora, decifrar depois): o atacante não precisa da máquina quântica hoje, apenas de armazenamento e paciência. Para informações com longa vida útil, como dados de saúde, contratos, propriedade intelectual e cadastros de clientes, o comprometimento pode começar a acontecer agora, ainda que a descriptografia só ocorra anos depois.
Nem toda criptografia quebra igual
A ameaça quântica não atinge todos os algoritmos com a mesma intensidade, e essa distinção evita tanto o pânico quanto a complacência.
De um lado está a criptografia assimétrica, ou de chave pública: RSA, criptografia de curvas elípticas (ECC) e Diffie-Hellman. É a base do TLS que protege sites e APIs, das VPNs, dos certificados digitais e das assinaturas de software e de documentos. Essas construções dependem de problemas matemáticos, como a fatoração de números grandes, que o algoritmo de Shor resolve de forma eficiente em um computador quântico suficientemente poderoso. Não se trata de enfraquecer o algoritmo, mas de derrubá-lo por completo.
Do outro lado está a criptografia simétrica e as funções de hash, como AES e SHA. Segundo o relatório NISTIR 8105, do próprio NIST, o algoritmo de Grover oferece apenas um ganho quadrático na busca por chaves e, se ele vier a ser praticamente relevante, dobrar o tamanho da chave é suficiente para preservar a segurança. Na prática, o AES-256 mantém margem confortável, e a migração para esse lado do problema é bem mais simples.
Essa distinção importa porque a barreira para o ataque vem caindo. Um estudo publicado no arXiv em maio de 2025 estimou que uma chave RSA de 2048 bits poderia ser fatorada em menos de uma semana por um computador com menos de um milhão de qubits ruidosos, cerca de 20 vezes menos que a estimativa de 2019 do mesmo autor. É uma estimativa sob premissas específicas, e nenhuma máquina atual chega perto disso, mas mostra que o horizonte de risco depende também de avanços em algoritmos, não só em hardware.
A conta que mostra por que sua empresa pode estar atrasada hoje
Existe uma forma objetiva de transformar incerteza em prioridade, conhecida na comunidade de criptografia como desigualdade de Mosca, em referência ao pesquisador Michele Mosca. A lógica é direta: se o tempo durante o qual um dado precisa permanecer secreto, somado ao tempo que a organização levará para migrar seus algoritmos, for maior que o tempo até a existência de um computador quântico criptograficamente relevante, a empresa já está em atraso.
Um exemplo ilustrativo, com números hipotéticos: imagine uma informação que precisa permanecer confidencial por 15 anos e uma migração que leve 7 anos entre inventário, testes, fornecedores e substituição de sistemas legados. A soma, 22 anos, ultrapassa 2035 com folga. O risco parece distante no calendário, mas a decisão que evita o problema precisa ser tomada agora. Como, em grandes organizações, a criptografia está distribuída por servidores, aplicações, certificados, APIs, equipamentos de rede e sistemas antigos, a transição é longa por natureza, conforme aponta o TI Rio.
O calendário regulatório já está escrito
A discussão saiu do campo teórico. Em agosto de 2024, o NIST publicou os três primeiros padrões de criptografia pós-quântica finalizados: FIPS 203 (ML-KEM), para troca de chaves, e FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA), para assinaturas digitais. Em novembro do mesmo ano, o instituto divulgou o rascunho do relatório NIST IR 8547, que propõe tornar obsoletos, após 2030, os algoritmos de chave pública vulneráveis com nível de segurança de 112 bits, como RSA-2048, e proibir todos eles após 2035. Vale registrar que o documento segue como proposta, mas já funciona como referência de planejamento.
O Reino Unido foi mais explícito quanto a etapas. O NCSC, agência nacional de cibersegurança britânica, orienta que as organizações concluam a fase de descoberta e planejamento até 2028, executem as migrações de maior prioridade até 2031 e finalizem a transição de todos os sistemas até 2035. Na União Europeia, o roteiro coordenado pelo Grupo de Cooperação NIS, publicado em junho de 2025, prevê estratégias nacionais e inventários criptográficos iniciais até o fim de 2026, transição de casos de alto risco até 2030 e de casos de risco médio até 2035, conforme registrado por veículos especializados em computação quântica.
Nos Estados Unidos, a CISA publicou em 2024 sua estratégia de inventário automatizado de criptografia, priorizando ativos com dados que seguirão sensíveis em 2035.
No Brasil, o movimento também é concreto. Segundo o Instituto Nacional de Tecnologia da Informação (ITI), a Instrução Normativa ITI nº 35, de janeiro de 2026, incorporou algoritmos pós-quânticos, como ML-DSA e ML-KEM, aos padrões criptográficos da ICP-Brasil. Em junho de 2026, a Portaria ITI nº 38 instituiu um Grupo de Trabalho Técnico sobre Criptografia Pós-Quântica, com prazo inicial de 90 dias, prorrogável, para entregar diagnóstico de risco quântico, plano de migração com cronograma e critérios de priorização, proposta de atualização normativa e estratégia de execução. Para quem depende de certificados e assinaturas com validade jurídica, é um sinal claro do que virá. O contexto regulatório mais amplo está no artigo sobre a Lei Geral de Cibersegurança.
O tema também já saiu do papel no mercado nacional: é comum hoje conversas com instituições do setor financeiro e de infraestrutura crítica sobre como iniciar o mapeamento desse risco, ainda que o prazo formal esteja distante. O tema deixou de ser ‘problema de 2035’ e entrou na pauta corrente.
O verdadeiro gargalo: descobrir onde a criptografia assimétrica está em uso
Se o cronograma é conhecido e os novos padrões já existem, por que a migração é difícil? Porque a etapa mais trabalhosa não é escolher o algoritmo substituto, e sim descobrir onde o algoritmo vulnerável está. Tanto o NCSC, ao colocar a descoberta como primeiro marco (2028), quanto a CISA, ao centrar sua estratégia em inventário, tratam o levantamento como ponto de partida.
Na prática, a criptografia assimétrica aparece em lugares que raramente constam de uma planilha de ativos: certificados TLS em aplicações e APIs, túneis de VPN, assinaturas de código e de firmware, cadeias de certificação internas, módulos de segurança de hardware, integrações com fornecedores e serviços em nuvem. Em ambientes industriais, onde equipamentos têm ciclos de vida de décadas e nem sempre aceitam atualização, o desafio é maior, como discutimos no artigo sobre convergência TI/OT. As APIs, que carregam suas próprias escolhas de criptografia, também precisam entrar no mapa, como abordamos em segurança de APIs no Open Finance.
Há um limite importante: a própria CISA reconheceu que não conseguiu confirmar toda a extensão das capacidades de detecção de algoritmos das ferramentas automatizadas, e relatório da Casa Branca de 2024 lembra que inventários automatizados podem não identificar todas as instâncias de criptografia de chave pública, o que mantém a exigência de levantamento manual complementar. Inventário criptográfico exige método, não apenas software.
Crypto-agilidade e visibilidade contínua: o que muda para o CISO
Do ponto de vista de arquitetura, a resposta de longo prazo tem nome: crypto-agilidade, a capacidade de trocar algoritmos e protocolos sem reescrever cada aplicação. Sistemas com a criptografia embutida no código, ou dispersa entre dezenas de fornecedores, são os mais lentos e caros de migrar. O TI Rio observa ainda que o período de convivência pode usar modelos híbridos, que combinam criptografia tradicional e pós-quântica.
Esse é um terreno em que a gestão de exposição e o acompanhamento contínuo de maturidade ganham relevância. Plataformas de gerenciamento de exposição, como a Tenable One, ampliam a visibilidade sobre ativos, serviços expostos, certificados e configurações de TLS em ambientes de TI, nuvem e OT, o que oferece a base de dados de que qualquer programa de inventário precisa. Já o acompanhamento contínuo da postura de segurança, como o realizado em um SOC de nova geração como nosso Cyber Fusion Center, permite medir a evolução de maturidade ao longo dos anos que a transição exige, em vez de tratá-la como projeto de entrega única.
Por que, no fim, esta é uma boa notícia operacional
Apesar do tom de alerta, o quadro tem um lado favorável. O problema é cirúrgico, não sistêmico: afeta a criptografia assimétrica, enquanto AES e SHA seguem consideradas adequadas, com ajustes de tamanho de chave. Os padrões pós-quânticos já foram publicados, os cronogramas estão disponíveis e a primeira etapa, o inventário, não depende de tecnologia inexistente.
O que separa as organizações preparadas das atrasadas é a ordem das ações. Mapear onde a criptografia assimétrica está em uso, classificar quais dados precisam permanecer protegidos por mais tempo, questionar fornecedores sobre seus planos de migração e incluir critérios de segurança pós-quântica em novos contratos são passos que cabem no orçamento e no ciclo de planejamento de hoje.
A computação quântica pode ainda estar a anos de quebrar a criptografia atual, mas o tempo que sua empresa levará para se preparar já está correndo. Quer entender o nível de visibilidade do seu ambiente antes que o prazo comece a pesar? Fale com nosso time técnico.
