Enquanto o mundo discute inteligência artificial, guerras comerciais e a corrida tecnológica entre grandes potências, outra transformação avança nos bastidores da segurança digital.

A ameaça de um computador quântico capaz de comprometer parte da criptografia de chave pública usada atualmente deixou de ser tratada apenas como uma hipótese acadêmica de longo prazo. Em 2026, grandes empresas de tecnologia e o governo dos Estados Unidos passaram a antecipar cronogramas de preparação para a chamada criptografia pós-quântica.

O Google estabeleceu 2029 como horizonte para sua migração. A Microsoft anunciou o mesmo prazo para produtos e serviços críticos. Em paralelo, o Departamento de Energia dos Estados Unidos estabeleceu 2028 como horizonte para demonstrar uma capacidade de computação quântica tolerante a falhas e cientificamente relevante.

Isso não significa que o chamado Q-Day — o momento em que um computador quântico criptograficamente relevante consiga quebrar sistemas amplamente utilizados — tenha uma data conhecida. Não tem.

O que mudou é outra coisa: o prazo de preparação passou a ser tratado como um problema de engenharia com consequências concretas hoje.

O risco começa antes do computador quântico

Uma das razões para a urgência é conhecida como Harvest Now, Decrypt Later, ou “colher agora, decifrar depois”.

A lógica é simples. Um atacante pode interceptar e armazenar hoje informações protegidas por criptografia que ainda não consegue quebrar. Se, no futuro, existir uma máquina quântica capaz de atacar aquele algoritmo, os dados armazenados poderão se tornar legíveis.

O Google já incorporou esse cenário ao seu modelo de ameaça e afirma que o risco para dados criptografados existe no presente, mesmo que a capacidade quântica necessária para quebrá-los ainda não esteja disponível.

Isso muda a lógica tradicional da segurança da informação.

Uma organização que precisa manter determinado dado confidencial por décadas não pode perguntar apenas se ele está protegido hoje. Precisa perguntar se a proteção continuará válida durante todo o período em que aquele dado tiver valor.

Segredos industriais, informações governamentais, registros sensíveis, propriedade intelectual e documentos estratégicos podem ter uma vida útil muito maior que a de uma tecnologia criptográfica.

O problema, portanto, não começa quando a máquina quântica aparece.

Começa quando uma organização descobre que não sabe onde está usando criptografia, quais algoritmos utiliza e quanto tempo levaria para substituí-los.

Março de 2026 mudou o debate

No fim de março, pesquisadores ligados ao Google Quantum AI publicaram uma nova estimativa para o custo computacional de um ataque de Shor contra a criptografia de curva elíptica de 256 bits (ECDLP-256), utilizada inclusive em sistemas de criptomoedas.

O estudo descreveu circuitos que poderiam executar o ataque com menos de 1.200 ou 1.450 qubits lógicos, dependendo da abordagem, e estimou que, em uma arquitetura supercondutora específica, isso poderia ser realizado com menos de 500 mil qubits físicos.

Também no fim de março, outro grupo apresentou uma estimativa ainda mais agressiva para arquiteturas baseadas em átomos neutros. O trabalho concluiu que, sob determinadas premissas de correção de erros, um computador com cerca de 10 mil qubits físicos poderia executar Shor em escala criptograficamente relevante. Para a curva P-256, o estudo estimou alguns dias de processamento com aproximadamente 26 mil qubits físicos.

Esses números não significam que exista hoje uma máquina capaz de realizar esse ataque. Essa distinção é fundamental.

Os trabalhos são estimativas teóricas de recursos, baseadas em arquiteturas e técnicas de correção de erros que ainda precisam superar obstáculos importantes de engenharia. Eles não representam uma demonstração de que o Q-Day chegou.

Mas reduzem significativamente algumas estimativas de recursos necessárias para ataques criptograficamente relevantes.

É justamente essa mudança no horizonte que ajuda a explicar a aceleração dos cronogramas de migração anunciados por Google e Microsoft.

As alternativas criptográficas já existem

Há uma ironia no problema.

As alternativas criptográficas já existem.

Em agosto de 2024, o Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST) finalizou três padrões de criptografia pós-quântica: ML-KEM, destinado ao estabelecimento de chaves, e ML-DSA e SLH-DSA, destinados a assinaturas digitais.

Em 2026, o próprio NIST afirma que esses padrões já podem ser implementados e recomenda que as organizações iniciem a migração. O órgão também prevê a retirada progressiva de algoritmos vulneráveis a ataques quânticos, com a eliminação dos padrões vulneráveis prevista para 2035 e sistemas de maior risco sendo tratados antes disso.

Portanto, a pergunta deixou de ser: “Existe uma criptografia pós-quântica?”

Existe.

A pergunta passou a ser: “Onde está a criptografia antiga e quanto tempo precisamos para substituí-la?”

É aí que aparece a verdadeira dívida técnica.

O tamanho da mudança não é trivial

O problema pode ser percebido nos próprios parâmetros dos novos algoritmos.

No ML-KEM-768, a chave pública possui 1.184 bytes e o texto cifrado, 1.088 bytes. O conjunto chega a 2.272 bytes, antes mesmo de considerar outros componentes do protocolo.

Nas assinaturas digitais, o impacto pode ser ainda maior. O tamanho das assinaturas pós-quânticas pode alterar requisitos de comunicação, armazenamento, processamento e gerenciamento de certificados.

Não significa que toda aplicação sofrerá um problema de “50 vezes mais dados”. O impacto depende do algoritmo, do protocolo e da arquitetura.

Mas significa que trocar um algoritmo criptográfico não é simplesmente trocar uma linha de código.

Em ambientes restritos, o aumento de tamanho pode afetar fragmentação, buffers, latência, memória, consumo energético e capacidade de processamento. Em dispositivos embarcados e sistemas industriais com ciclos de vida de dez ou vinte anos, a atualização pode depender do próprio hardware.

E esse é o ponto que transforma criptografia pós-quântica em problema de governança.

A infraestrutura é mais difícil de mudar do que o algoritmo

Um algoritmo pode ser substituído em laboratório em questão de horas.

Uma infraestrutura corporativa não.

Uma grande organização pode possuir aplicações desenvolvidas ao longo de décadas, certificados distribuídos entre milhares de serviços, dispositivos industriais que não recebem atualizações frequentes, módulos de segurança de hardware, sistemas legados, bibliotecas criptográficas incorporadas a softwares de terceiros e equipamentos cuja substituição física custa milhões.

Muitas vezes, o problema sequer está documentado.

Uma aplicação pode utilizar uma biblioteca criptográfica sem que a equipe responsável pelo negócio saiba exatamente qual algoritmo está por trás dela.

É por isso que Google e Microsoft colocam inventário criptográfico e agilidade criptográfica no centro de seus programas de migração. A Microsoft afirma explicitamente que o desafio mais difícil para a maioria das organizações não é escolher os algoritmos pós-quânticos, mas descobrir onde a criptografia está presente em aplicações, serviços, redes, identidades, certificados e hardware.

A expressão técnica para a capacidade de substituir algoritmos sem reconstruir toda a infraestrutura é crypto-agility.

Ela pode parecer apenas mais um termo de segurança da informação.

Não é.

Pode ser uma das características mais importantes da infraestrutura digital dos próximos anos.

Um exemplo concreto e recente reforça essa tese. Em 20 de agosto de 2026, a Microsoft publicou orientações específicas para desenvolvedores e administradores do Windows sobre a transição de sua infraestrutura de assinatura de código. A empresa alertou que aplicações com configurações de assinatura “fixadas” podem deixar de funcionar durante a migração e informou que a assinatura do Windows começará a migrar para sistemas pós-quânticos a partir de 2027.

Não estamos mais falando apenas de um computador quântico hipotético. Já estamos falando de certificados, assinaturas, sistemas operacionais, aplicações e compatibilidade real.

A assimetria está aumentando

A migração não acontece de maneira uniforme.

Algumas grandes plataformas já trabalham com criptografia pós-quântica ou combinações híbridas de algoritmos clássicos e pós-quânticos. O Google, por exemplo, vem incorporando proteção pós-quântica em diferentes partes de sua infraestrutura e estabeleceu 2029 como horizonte para a prontidão de seu ambiente.

Ao mesmo tempo, empresas menores, sistemas industriais, dispositivos IoT, softwares antigos e equipamentos com longos ciclos de vida podem enfrentar uma transição muito mais lenta.

Isso cria uma assimetria.

A internet pode avançar mais rapidamente que os equipamentos que sustentam hospitais, fábricas, redes elétricas, sistemas de transporte, bancos e infraestrutura crítica.

O elo mais fraco não será necessariamente o algoritmo mais vulnerável.

Pode ser o dispositivo que ninguém mais sabe como atualizar.

O Q-Day não precisa de uma data para produzir efeitos

Falar em Q-Day como se fosse uma data equivalente a um lançamento de produto cria uma falsa sensação de precisão.

Não sabemos quando surgirá um computador quântico capaz de realizar ataques criptograficamente relevantes.

Sabemos, porém, que a preparação leva anos.

Sabemos que grandes empresas já anteciparam seus cronogramas.

Sabemos que governos estão estabelecendo prazos.

Sabemos que novos estudos estão reduzindo algumas estimativas de recursos necessários.

E sabemos que informações coletadas hoje podem continuar sensíveis quando a tecnologia capaz de quebrá-las estiver disponível.

É uma combinação suficientemente séria para justificar ação antes da certeza.

O que as organizações deveriam fazer agora

A primeira etapa não é comprar um computador quântico.

É descobrir onde está a criptografia.

1. Fazer um inventário criptográfico
   Identificar algoritmos, certificados, chaves, bibliotecas, protocolos, aplicações, dispositivos e sistemas que dependem de criptografia vulnerável.
2. Classificar os dados pelo tempo de confidencialidade
   Um arquivo que precisa permanecer secreto por seis meses não possui o mesmo risco de uma informação que continuará sensível por vinte anos.
3. Adotar arquitetura híbrida quando apropriado
   Combinações entre algoritmos clássicos e pós-quânticos podem servir como etapa de transição.
4. Desenvolver crypto-agility
   Algoritmos e parâmetros criptográficos precisam deixar de ser elementos rígidos e espalhados pelo código.
5. Auditar hardware e sistemas legados
   Descobrir quais dispositivos, HSMs, equipamentos industriais e componentes de terceiros não poderão receber uma atualização pós-quântica.
6. Planejar a migração como projeto de infraestrutura
   Criptografia pós-quântica não deve ficar restrita à equipe de segurança. Ela envolve arquitetura, compras, desenvolvimento, gestão de riscos, fornecedores, compliance e continuidade operacional.

O verdadeiro alerta

A corrida quântica não está apenas produzindo computadores mais poderosos.

Está revelando uma característica incômoda da economia digital: muitas organizações não conhecem completamente a própria infraestrutura criptográfica.

E isso é uma vulnerabilidade por si só.

O computador quântico capaz de romper a criptografia atual pode surgir nos próximos anos ou levar muito mais tempo. Ninguém pode afirmar hoje uma data com segurança.

Mas a migração necessária para reduzir o risco já começou.

Google e Microsoft escolheram 2029 como horizonte para etapas importantes de suas próprias transições. O Departamento de Energia dos Estados Unidos estabeleceu 2028 como horizonte para demonstrar uma capacidade de computação quântica tolerante a falhas e cientificamente relevante. O NIST já possui padrões prontos e recomenda que a migração comece agora. E a Microsoft já está preparando mudanças concretas na assinatura de código do Windows para 2027.

O paradoxo é que o maior risco talvez não seja descobrir que um computador quântico ficou poderoso demais.

Pode ser descobrir que a organização ficou lenta demais para substituir aquilo que já sabia que precisava mudar.

O Q-Day não precisa chegar para revelar a dívida técnica.

A contagem regressiva já está produzindo esse efeito.

E, nesse sentido, a crise quântica é menos uma história sobre uma máquina do futuro do que uma auditoria involuntária da infraestrutura digital do presente.