Toda vez que você acessa o site do seu banco, faz um Pix, troca uma mensagem no WhatsApp ou compra algo com cartão de crédito pela internet, uma matemática silenciosa protege esses dados: números tão grandes que nenhum computador clássico, nem somando todo o poder de processamento do planeta, conseguiria quebrá-los em um tempo útil. Esse é o alicerce de praticamente toda a segurança digital moderna. E existe um tipo de computador, ainda em construção, cuja proposta é justamente destruir esse alicerce.
Não se trata de ficção científica distante. Em maio de 2025, um pesquisador do Google publicou um recálculo que reduziu drasticamente a estimativa de “quão perto” essa ameaça está — e, ao mesmo tempo, agências de segurança de vários países já classificam o problema como urgente o suficiente para justificar uma migração global de padrões de criptografia, mesmo sem um computador quântico capaz de realizar o ataque ainda existir. Entender por que exige separar dois problemas: o que a computação quântica realmente ameaça romper, e por que a preocupação já vale a pena hoje, mesmo que essa máquina ainda não exista.
O problema matemático que protege quase tudo
A criptografia que protege a internet hoje se apoia, majoritariamente, em dois sistemas: o RSA e a criptografia de curvas elípticas (ECC). Os dois são exemplos do que se chama de “criptografia de chave pública” — cada pessoa ou servidor tem uma chave pública, que qualquer um pode ver, e uma chave privada, que só o dono conhece. A segurança do sistema inteiro depende de existir uma operação matemática fácil de fazer em um sentido, mas absurdamente difícil de reverter sem a chave privada.
No caso do RSA, essa operação é a multiplicação de dois números primos gigantescos (cada um com centenas de dígitos) para gerar a chave pública. Multiplicar dois primos é trivial para um computador. O problema inverso — pegar o número resultante e descobrir quais dois primos foram multiplicados para chegar a ele, um processo chamado fatoração — é tão difícil que, com os melhores algoritmos clássicos conhecidos, o tempo necessário cresce de forma explosiva com o tamanho da chave. Para uma chave RSA de 2048 bits (o padrão comum hoje), fatorar o número por força bruta levaria, com a tecnologia atual, mais tempo do que a idade do universo. A curva elíptica usa uma lógica parecida, baseada em outro problema matematicamente difícil (o logaritmo discreto sobre curvas elípticas), mas o princípio de fundo é o mesmo: seguro porque reverter é inviável, não porque seja impossível em teoria.
O algoritmo que muda essa conta
Em 1994, o matemático Peter Shor descreveu um algoritmo que, rodando em um computador quântico com poder suficiente, resolveria o problema de fatoração — e o problema do logaritmo discreto — em um tempo drasticamente menor do que qualquer algoritmo clássico conhecido. A diferença não é uma otimização incremental: é uma mudança de categoria, do tipo que transforma um problema “impossível na prática” em um problema “resolvível em dias”, desde que o hardware exista.
O motivo pelo qual computadores quânticos conseguem isso está na forma como processam informação. Um computador clássico representa dados em bits, que valem 0 ou 1. Um computador quântico usa qubits, que podem existir em superposição — uma combinação probabilística de 0 e 1 ao mesmo tempo — e podem ser emaranhados entre si, de forma que o estado de um afeta o estado de outro instantaneamente. O algoritmo de Shor explora essas propriedades para testar, de certo modo, muitas possibilidades simultaneamente através de um processo chamado transformada quântica de Fourier, encontrando o padrão periódico escondido por trás da fatoração de um número de forma muito mais eficiente do que testar possibilidades uma a uma. É importante frisar: isso não significa que o computador quântico “tenta tudo ao mesmo tempo” de forma mágica — o ganho vem de uma estrutura matemática específica que amplifica as respostas corretas e cancela as erradas, algo que só funciona para certos tipos de problema. Fatoração é um deles. A maioria dos problemas computacionais do dia a dia não ganha essa aceleração.
Quão perto estamos disso realmente acontecer
Aqui está o ponto mais importante, e o mais frequentemente distorcido: ter o algoritmo de Shor descrito matematicamente desde 1994 é uma coisa. Ter um computador quântico com qubits suficientes, estáveis o bastante e com taxa de erro baixa o suficiente para rodar esse algoritmo contra uma chave RSA real é outra completamente diferente — e é aí que a distância entre “teoricamente possível” e “praticamente iminente” se torna concreta.
Em maio de 2025, o pesquisador Craig Gidney, do Google, publicou uma reavaliação dessa distância que causou impacto na comunidade de segurança. A estimativa anterior, do próprio Gidney em 2019, apontava que seriam necessários cerca de 20 milhões de qubits físicos ruidosos para quebrar uma chave RSA-2048 em cerca de oito horas. O novo cálculo, apoiado em avanços em três frentes — uma forma mais eficiente de fazer aritmética aproximada com números grandes, uma técnica de armazenamento de qubits lógicos usando “códigos de superfície acoplados” com maior densidade, e uma preparação de estado inicial mais eficiente para o circuito — reduziu essa exigência para menos de 1 milhão de qubits físicos, operando por cerca de cinco dias, assumindo uma taxa de erro por porta lógica de no máximo 0,1%. Uma redução de mais de 95% na estimativa de hardware necessário, em pouco menos de seis anos.
Isso não significa que a ameaça ficou “mais próxima” no sentido de faltar pouco tempo — significa que o tamanho da barreira técnica caiu, o que é diferente. Para efeito de comparação: os processadores quânticos mais avançados atualmente em operação têm algumas centenas de qubits físicos, não milhões, e ainda enfrentam taxas de erro por porta muito mais altas do que os 0,1% exigidos pelo cálculo de Gidney. A própria IBM, uma das líderes da corrida, projeta publicamente entregar seu primeiro computador quântico “tolerante a falhas” de larga escala — ou seja, capaz de corrigir erros de forma robusta o suficiente para rodar algoritmos como o de Shor em problemas reais — apenas em 2029, e mesmo esse prazo é tratado pela própria empresa como uma meta ambiciosa, não uma certeza. Construir um qubit lógico confiável hoje ainda exige agrupar dezenas ou centenas de qubits físicos ruidosos para simular um único qubit “limpo” via correção de erro — a proporção exata necessária é, ela mesma, um dos principais gargalos de engenharia ainda não resolvidos. Em resumo: o algoritmo existe, a barreira de hardware está encolhendo mais rápido do que se previa, mas nenhum sistema em operação hoje chega perto de atender aos requisitos — e não há consenso de quando (ou se, no prazo de uma década) isso mudará.
Por que agências de segurança tratam isso como urgente mesmo assim
Se o computador capaz de quebrar RSA ainda não existe, por que os EUA, o Reino Unido, a Alemanha e outros países já publicaram alertas oficiais e cronogramas de migração? A resposta está em uma estratégia de ataque que não depende do futuro ter chegado: a chamada “harvest now, decrypt later” (“colher agora, decifrar depois”).
A lógica é direta: um adversário — um governo, um serviço de inteligência, um agente com recursos suficientes — pode interceptar e armazenar hoje o tráfego criptografado que circula pela internet, mesmo sem conseguir lê-lo agora, apostando que um computador quântico capaz de quebrar essa criptografia vai existir dentro de alguns anos ou décadas. Quando esse dia chegar, o conteúdo armazenado — ainda criptografado com os métodos de hoje — pode ser decifrado retroativamente. Essa estratégia não é hipotética: agências como a CISA (Cybersecurity and Infrastructure Security Agency, dos EUA) e o BSI alemão (órgão federal de segurança da informação) já documentaram publicamente essa preocupação, e ela vem sendo discutida abertamente desde por volta de 2022.
O motivo pelo qual isso importa depende diretamente de quanto tempo um dado precisa continuar sigiloso. Uma senha de uma compra pontual, cujo valor de exposição expira em minutos, é pouco afetada por esse risco. Já comunicações diplomáticas, registros médicos, segredos industriais, dados de infraestrutura crítica e qualquer informação com “prazo de validade de confidencialidade” longo — décadas, não dias — são exatamente o tipo de dado que vale a pena para um adversário colher e guardar hoje, na aposta de decifrar depois. Para esse tipo específico de informação, esperar um computador quântico realmente existir antes de agir já seria tarde demais: os dados já teriam sido copiados anos antes.
A resposta em construção: criptografia pós-quântica
A resposta técnica a esse problema não é tentar impedir a computação quântica de avançar — é trocar os problemas matemáticos usados como base da criptografia por outros que, até onde se sabe, nem mesmo um computador quântico rodando o algoritmo de Shor consegue resolver de forma mais rápida que um computador clássico. Esse é o campo chamado de criptografia pós-quântica (PQC).
Em agosto de 2024, o instituto americano de padrões NIST (National Institute of Standards and Technology) finalizou os três primeiros padrões oficiais de criptografia pós-quântica, depois de quase uma década de um processo público e competitivo de avaliação: o FIPS 203 (ML-KEM), para troca segura de chaves, e o FIPS 204 (ML-DSA) e FIPS 205 (SLH-DSA), para assinaturas digitais. Os dois primeiros se baseiam em um problema matemático diferente do RSA — reticulados (lattices), estruturas geométricas de múltiplas dimensões nas quais encontrar certos pontos específicos é considerado difícil mesmo para algoritmos quânticos conhecidos até hoje. O terceiro se baseia em funções hash criptográficas, uma abordagem mais conservadora e já testada há décadas. Um quarto algoritmo baseado em uma família matemática diferente (HQC) foi selecionado em março de 2025 especificamente como uma alternativa de reserva, caso alguma fragilidade inesperada seja descoberta nos reticulados no futuro — uma estratégia deliberada de não colocar toda a segurança futura em uma única base matemática.
O NIST publicou também um cronograma formal de transição (documento NIST IR 8547): algoritmos vulneráveis a computadores quânticos, como o RSA e a criptografia de curva elíptica em uso hoje, devem ser depreciados e eventualmente removidos dos padrões oficiais até 2035, com sistemas classificados como de alto risco — infraestrutura crítica, governo, setor financeiro — orientados a migrar bem antes desse prazo final. Isso não significa que RSA vai parar de funcionar da noite para o dia: significa que a migração para os novos padrões já começou a ser cobrada como responsabilidade técnica das próprias organizações, não como um projeto para “quando o problema aparecer”.
O que isso significa, na prática, para quem não trabalha com segurança
Para a maioria das pessoas, a criptografia pós-quântica vai chegar de forma invisível — embutida em atualizações de navegadores, sistemas operacionais e aplicativos, da mesma forma como aconteceu com transições anteriores de padrões de criptografia. Já é possível encontrar hoje sites e serviços — inclusive de grandes provedores de nuvem e navegadores — que usam versões híbridas de criptografia, combinando um algoritmo clássico com um algoritmo pós-quântico na mesma conexão, como uma camada extra de segurança durante o período de transição.
O ponto que vale reter não é o alarme de “a criptografia vai quebrar amanhã” — não vai, e a distância técnica atual entre o hardware quântico disponível e o hardware necessário para o algoritmo de Shor funcionar contra chaves reais ainda é considerável. O ponto é que a migração de padrões de segurança em escala global é, historicamente, um processo lento — leva anos para se espalhar por sistemas legados, dispositivos antigos e infraestrutura que não é atualizada com frequência. Diante de um risco que já começa a se materializar hoje, através da coleta silenciosa de dados para decifração futura, agir antes do prazo apertar é precisamente o motivo pelo qual esse assunto técnico, normalmente restrito a especialistas, já é tratado como prioridade por governos e pela própria indústria de tecnologia.
Fontes citadas neste artigo:
- NIST — Post-Quantum Cryptography Standardization (FIPS 203, 204, 205), agosto de 2024, e NIST IR 8547 (cronograma de transição)
- Craig Gidney (Google) — reavaliação da estimativa de qubits necessários para quebrar RSA-2048, maio de 2025
- IBM Quantum — Roadmap público para computação quântica tolerante a falhas
- CISA / BSI (Alemanha) — documentação oficial sobre o risco “harvest now, decrypt later”
- Wikipédia — “Harvest now, decrypt later”