Um paper de março de 2026 reduziu duas ordens de grandeza a barreira para quebrar a criptografia da internet. As mensagens encriptadas de hoje vão ser lidas amanhã.
Ouve o artigo:
Em Camp Williams, no deserto do Utah, o complexo da NSA em Bluffdale ocupa cerca de 93 mil metros quadrados e guarda dados encriptados que ninguém, hoje, consegue ler. A distância entre o presente e o momento em que um computador quântico consegue lê-los reduziu-se em duas ordens de grandeza numa semana de março de 2026. Dois papers, um da Caltech e um da Google, coincidiram no mesmo diagnóstico: o problema deixou de ser questão de gerações e passou a ser questão de anos.
Qubit é a unidade básica de informação num computador quântico, equivalente ao bit no computador clássico, com a propriedade adicional de poder estar em vários estados em simultâneo. O paper submetido ao arXiv pela equipa da Caltech, intitulado “Shor’s algorithm is possible with as few as 10,000 reconfigurable atomic qubits”, mostra que a barreira técnica para quebrar a criptografia atual é muito mais baixa do que se pensava até agora.
Índice
Como é que a criptografia da internet funciona
Cada mensagem enviada pelo WhatsApp, cada compra na Amazon, cada acesso ao homebanking viaja pela internet em forma encriptada.
A maior parte da criptografia que protege a internet usa um sistema chamado RSA, criado em 1977 por Ron Rivest, Adi Shamir e Leonard Adleman. O RSA tem variantes consoante o tamanho da chave: RSA-1024, RSA-2048 e RSA-4096, sendo o RSA-2048 o padrão atual da banca digital e do email seguro. O RSA assenta numa propriedade simples da matemática: é fácil multiplicar dois números primos grandes, mas é praticamente impossível fazer o caminho inverso.
Um exemplo pequeno ajuda a ver a assimetria. Multiplicar 97 por 89 é uma conta de segundos: dá 8633. O caminho contrário, partir do 8633 para descobrir que primos o originaram, exige testar combinações até encontrar duas que sejam primas e cujo produto seja 8633. Demora minutos, com sorte.
Com primos de 600 dígitos, o problema muda de escala. Para um computador atual, mesmo o mais potente, descobrir os dois primos a partir do produto leva mais tempo do que a idade do universo. É essa assimetria entre uma operação direta trivial e uma operação inversa praticamente impossível que protege as mensagens que circulam na rede.
A chave associada publicamente a uma conta é o produto de dois primos. A chave privada, na posse exclusiva do titular, são esses dois primos individualmente. Quem envia uma mensagem encripta-a com o produto, e para a decifrar é preciso conhecer os dois primos: quem intercepta a mensagem tem o produto, não os primos.
A mesma lógica protege a Bitcoin, com uma variante chamada criptografia de curva elíptica (ECC). A ECC usa um problema matemático parecido com o do RSA, envolvendo curvas elípticas em vez de fatorização de primos. O princípio é o mesmo: fácil numa direção, impossível na inversa.
Por que é que isto é vulnerável a computação quântica
Em 1994, um matemático dos Bell Labs chamado Peter Shor, hoje no MIT, mostrou que a impossibilidade prática de fazer o caminho inverso só é válida para computadores tradicionais: para um computador quântico, o mesmo problema passa a levar horas em vez de milénios.
Um computador quântico funciona de forma diferente de um computador tradicional. Onde um computador clássico processa bits que valem 0 ou 1, um quântico processa qubits que podem estar em estados quânticos sobrepostos, o que lhe permite explorar muitas possibilidades em simultâneo. Para certos problemas matemáticos específicos, incluindo a fatorização de primos grandes, esta diferença muda tudo.
Quando o algoritmo de Shor é aplicado a um número grande, encontra os primos que o originaram em tempo razoável, e com isso o RSA fica quebrado. A criptografia deixa de proteger.
O problema é que o computador quântico de Shor não existia em 1994 e continuou a não existir durante décadas. Os primeiros protótipos tinham apenas alguns qubits e a evolução foi modesta: a IBM fatorizou o número 15 em 2001 usando 7 qubits, fatorizou parcialmente o número 21 em 2012, com a fatorização completa só em 2021, e o número 35 em 2019. Eram avanços incrementais que mantinham a quebra de RSA num horizonte distante.
Não era só uma questão de número de qubits, havia também o problema da estabilidade. Por serem extremamente sensíveis a ruído, os qubits colapsam o estado quântico ao mínimo de perturbação, o que significava que para construir um computador capaz de quebrar RSA seria necessário ter milhões de qubits físicos a sustentar alguns milhares de qubits “lógicos” estáveis através de códigos de correção de erros, uma escala considerada questão de gerações até há pouco tempo.
O que mudou em 2026: o paper da Caltech e do Google
A equipa, liderada por Madelyn Cain e Qian Xu como primeiras autoras e por Dolev Bluvstein como autor sénior, em colaboração com a Oratomic, startup ligada à Caltech fundada pelos próprios investigadores em março de 2026, reduziu esta barreira em duas ordens de grandeza. Em vez das tecnologias dominantes de qubits supercondutores ou iões aprisionados, usaram átomos neutros como qubits, com códigos de correção de erros mais eficientes. O paper mostra que basta uma fração dos recursos antes considerados necessários.
Em condições laboratoriais ideais, segundo as simulações da equipa, bastam cerca de 26.000 qubits para quebrar em poucos dias a criptografia ECC que protege a Bitcoin, e 100.000 qubits para quebrar o RSA-2048 que protege a banca digital, num prazo de três meses. John Preskill, professor de física teórica em Caltech e um dos fundadores da teoria da correção de erros quânticos, resume o estado da arte assim: “Tenho estado a trabalhar em computação quântica tolerante a falhas há mais tempo do que alguns dos meus coautores têm de vida. Agora estamos finalmente perto.”
Em paralelo, a Google anunciou no mesmo dia uma implementação para quebrar criptografia de curva elíptica (ECC) dez vezes mais eficiente que as versões anteriores, segundo a qual a maior parte das criptomoedas cederia em minutos a uma máquina com menos de 500.000 qubits. O whitepaper foi assinado por Craig Gidney, físico da Google Quantum AI e um dos autores mais citados no domínio da estimativa de recursos para computação quântica. As duas equipas trabalham em frentes parcialmente sobrepostas: a Caltech reduz o hardware necessário para os dois problemas, a Google reduz drasticamente o tempo de cálculo no caso da ECC.
Tudo isto continua a ser estimativa teórica, claro. Construir um computador quântico com 26.000 qubits funcionais é ainda um desafio de engenharia, dado que as tecnologias atuais conseguem manter aprisionados cerca de 6.000 átomos neutros sem computação efetiva, e processadores em funcionamento ficam-se ainda pelos baixos milhares. Mesmo assim, a distância entre o presente e a quebra do RSA passou de “questão de gerações” para “questão de anos”, talvez de uma década e meia, com o hardware existente em laboratório a estar já a 1-2 ordens de grandeza do que é preciso.
Para contexto: passar de 1.000 para 100.000 qubits levaria cerca de 15 anos ao ritmo histórico de duplicação. Pode levar menos com investimento concentrado, como o que está a acontecer.
O que está a acontecer ao mesmo tempo: harvest now, decrypt later
Existe entretanto um problema que circula sobretudo em meios técnicos. O nome em inglês é “harvest now, decrypt later”. Em português: colher agora, desencriptar depois.
A ideia não tem subtileza. Mesmo sem máquina capaz de partir o RSA, basta interceptar dados encriptados hoje, guardá-los, e esperar pela máquina. O espaço em disco custa cada vez menos. Segredos diplomáticos, propriedade industrial, registos de saúde, identidades de agentes em operação: nada disto perde valor depressa. Esperar dez anos, quinze, vinte, sai barato.
A interceção em larga escala destes dados está documentada em relatórios públicos. Em 2024, o Office of the Director of National Intelligence (ODNI) dos Estados Unidos descreveu, na avaliação anual de ameaças, operações cibernéticas chinesas com objetivos de longo prazo.
A CISA, agência americana de cibersegurança, publicou em maio de 2023 um aviso sobre acesso persistente de atores ligados à China em redes de telecomunicações ocidentais. Pelo lado russo, o GRU mantém há anos campanhas conhecidas como Snake e Turla, que extraem tráfego encriptado de embaixadas, ministérios da defesa e empresas de tecnologia.
O alvo é o tráfego que passa por cabos submarinos, operadoras internacionais e ramais de infraestruturas críticas. O destino são centros de dados como o complexo da NSA em Bluffdale, no Utah, junto com outros que ninguém consegue mapear.
No dia em que existir um computador quântico operacional, abre-se a porta e lê-se o que estava armazenado.
A particularidade desta espionagem é não deixar marca. Os dados são copiados, e copiar não interrompe nada. O sistema alvo continua a operar, o utilizador faz a sua transação como sempre, o servidor responde como sempre. A vítima pode passar a vida sem saber que existem cópias do seu tráfego em armazéns alheios, porque rigorosamente nada lhe foi tirado. Só foi feito um espelho.
Em termos práticos, para uma pessoa comum, o que isto quer dizer é que aquilo que se escreve hoje numa conversa cifrada pode ser legível daqui a dez ou quinze anos. O email trocado com a médica de família, a transferência bancária que parecia segura, a discussão num grupo de trabalho sobre um cliente ou a confidência a um amigo num chat com cadeado. Está tudo em algum sítio, em formato ilegível, à espera de uma chave que ainda não foi forjada.
Há ainda um detalhe técnico que agrava o problema, chamado forward secrecy. É uma propriedade dos protocolos modernos que faz com que cada sessão de comunicação tenha a sua própria chave temporária, independente das anteriores. Sem ela, partir uma única chave abre tudo o que essa chave alguma vez fechou: anos de conversas, milhões de transações. Com ela, cada conversa é uma fechadura separada, e arrombá-las uma a uma deixa de ser viável em escala industrial. Os sistemas mais antigos, e há muitos a operar ainda, não têm forward secrecy.
A resposta institucional: NIST, NSA e os padrões pós-quânticos
A resposta começou bastante antes de o paper da Caltech ter sido publicado. Em agosto de 2024, o National Institute of Standards and Technology (NIST), agência federal americana que define padrões técnicos para o resto do mundo, fechou três algoritmos pensados para resistir a computação quântica: ML-KEM, ML-DSA e SLH-DSA. Não usam fatorização de primos nem curvas elípticas. Usam um problema matemático diferente, baseado em redes geométricas multidimensionais, contra o qual o algoritmo de Shor não se aplica.
A teoria está resolvida. Os algoritmos existem, foram testados, foram publicados, e as bibliotecas de software para os implementar circulam desde 2024. Em setembro de 2025, cerca de 43% das ligações TLS geradas por pessoas, e não por bots, à infraestrutura da Cloudflare usavam já o híbrido X25519+ML-KEM, segundo a própria empresa. O problema está na infraestrutura digital instalada, com décadas de dependências criptográficas encaixadas umas nas outras.
A NSA fixou 2035 como prazo final para que todos os sistemas de segurança nacional dos Estados Unidos abandonem RSA e ECC. No setor privado, a banca americana iniciou auditorias em 2025.
A banca europeia anda atrasada um ou dois anos.
A Google, a Apple e a Microsoft começaram a integrar algoritmos pós-quânticos em alguns produtos no decurso de 2024 e 2025, de forma discreta, para não alarmar e não comprometer interoperabilidade. Em março de 2026, a Google adiantou o prazo e fixou-o em 2029, seis anos antes da meta da NSA.
O resto do tecido digital ainda está em RSA e ECC. Na União Europeia, a Recomendação 2024/1101 da Comissão Europeia, de abril de 2024, fixou um quadro coordenado para a migração, e em junho de 2025 o NIS Cooperation Group publicou o roadmap conjunto: estratégia nacional e inventário criptográfico até ao fim de 2026, sistemas críticos quantum-safe até 2030, transição global até 2035.
Inquéritos da ENISA, agência europeia de cibersegurança, a mais de 1.350 organizações dos 27 Estados-Membro, mostram que poucos vão a tempo. Em sectores como energia, água e transportes a situação é pior, e nas pequenas e médias empresas a migração praticamente não começou. A operação inteira leva uma década, talvez mais.
A urgência é maior do que parece justamente por causa do harvest now. Cada ano à espera é mais um ano de tráfego encriptado a cair em arquivos de terceiros para ser lido depois. Migrar quando a máquina chegar é tarde. É preciso migrar antes, para que o que vai sendo encriptado deste momento em diante já vá protegido pela tecnologia nova, e não vá engrossar acervos que abrirão à primeira chave quântica.
Empresas e serviços públicos mais vulneráveis
A maior parte das pessoas vai atravessar a transição sem se aperceber. As atualizações automáticas dos browsers e dos sistemas operativos vão substituindo silenciosamente os protocolos antigos por versões pós-quânticas, e basta manter o software em dia. Daqui a dois anos, o Signal e o WhatsApp já protegerão as mensagens com algoritmos resistentes a computação quântica, sem que ninguém precise de tomar uma decisão técnica.
Fora do mundo do utilizador comum, o cenário é outro. Em ambiente empresarial e governamental, a criptografia está espalhada por sistemas que falam mal entre si: assinatura digital de documentos, servidores web, bases de dados, redes internas, carteiras de certificados, infraestrutura de assinatura de código que garante que o software descarregado da internet foi mesmo escrito por quem diz que foi. Tudo isto tem de ser revisto. E porque muitos sistemas legados dependem de bibliotecas criptográficas antigas que nunca foram pensadas para acomodar algoritmos novos, a substituição muitas vezes obriga a refazer cadeias inteiras de dependências, com tudo o que isso implica em testes, custos e janelas de manutenção.
No sector governamental o problema agrava-se por causa da segurança nacional. Documentos classificados estão guardados há décadas com o pressuposto de que ali ficavam fechados durante mais umas tantas. Comunicações diplomáticas e militares dos últimos anos, gravadas e arquivadas por adversários, também. Identidades de agentes em operação, registos de informadores, cartografias de fontes humanas: tudo o que se cifrou nos últimos vinte anos a contar com proteção vitalícia passou a ter horizonte mais curto do que se previa.
No Bitcoin, há carteiras tecnicamente expostas porque a respetiva chave pública já apareceu em transações antigas, e basta aparecer uma vez para ficar lá no histórico, à mão de quem souber explorar. Quando existir um computador quântico capaz de aplicar Shor à criptografia de curva elíptica, todas essas carteiras ficam abertas.
Cerca de seis milhões de bitcoins estão neste estado, divididos entre os antigos endereços P2PK da era Satoshi e os endereços reutilizados em transações posteriores. Por aí, qualquer coisa como um quarto de toda a oferta em circulação. A comunidade Bitcoin discute há anos como migrar o protocolo para algoritmos resistentes, mas qualquer alteração precisa de consenso entre os atores da rede, e em ecossistemas descentralizados o consenso vem devagar ou não vem.
A migração inteira tem complexidade comparável à do bug do ano 2000. O prazo agora é mais longo, a carga distribui-se por um tecido económico bastante mais difuso, e a visibilidade pública do problema tem sido residual, quando em 1999 era notícia diária.
A diferença que conta é o efeito-relógio. 1999 tinha uma data fixa de viragem, com hora marcada para a meia-noite, e isso mobilizou empresas e governos quase em pé de guerra. A transição pós-quântica não tem hora. Os incentivos para começar a migrar mantêm-se fracos enquanto não houver, em algum laboratório, uma máquina a funcionar.
O que ainda não se sabe
Quando vai existir um computador quântico funcional com 100.000 qubits físicos é a pergunta que ninguém consegue responder. As estimativas andam entre cinco e vinte anos.
Dolev Bluvstein, CEO da Oratomic e autor sénior do paper, admite que “é plausível, embora não garantido, que tenhamos um computador quântico tolerante a falhas até ao final da década”.
Os candidatos no sector privado são a Google, a IBM e a IonQ, com a IonQ a apostar em iões aprisionados e as outras duas em qubits supercondutores. Nos Estados, os programas mais avançados são americano e chinês, sendo que o chinês tem dimensão militar significativa e acesso público quase nulo. O acesso a computadores quânticos via cloud já é realidade para investigação, mas o acesso para tarefas de quebra de criptografia depende de quem chega primeiro à escala necessária e do que decide fazer com ela. Pode publicar, pode não publicar.
Outra incerteza, mais técnica, prende-se com a resistência dos próprios algoritmos pós-quânticos do NIST. Contra os ataques quânticos hoje conhecidos, a margem de segurança é boa, porque a criptografia baseada em redes substitui a fatorização de primos por problemas geométricos que escapam à lógica do algoritmo de Shor.
Ninguém pode garantir que não apareça amanhã um ataque quântico novo, ou um ataque clássico nunca antes visto, que destrua estes algoritmos como Shor destruiu o RSA. A história da criptografia está cheia de gerações de algoritmos derrotadas por avanços inesperados, e o ML-KEM tem cinco anos de existência pública. O DES, padrão de cifra simétrica nos anos 80 e 90, teve quase trinta antes de cair.
A própria tecnologia de qubits que vai dominar comercialmente está em disputa. Os átomos neutros, escolha da Caltech, têm a vantagem de operar a temperaturas relativamente acessíveis e de permitirem grandes arrays compactos. Os qubits supercondutores, em que a Google e a IBM investiram nos últimos dez anos, partem com vantagem industrial mas exigem refrigeração próxima do zero absoluto. A IonQ trabalha com iões aprisionados, abordagem mais lenta que ganha em estabilidade, e a PsiQuantum desenvolve uma alternativa fotónica que dispensa criogenia mas precisa de fabricar componentes em escala fora do alcance das fábricas atuais. Cada caminho tem trade-offs próprios, e nenhum se impôs.
O estatuto do problema deslocou-se. Em vez de hipotético, ficou concreto.
Para sectores que tinham vindo a empurrar a migração com a barriga, isto deixa de ser opção: governos, bancos, hospitais com arquivos clínicos de longo prazo, escritórios de patentes, gabinetes de advogados que guardam correspondência sob sigilo, redações que protegem fontes, organizações de direitos humanos com listas de testemunhas em jurisdições hostis.
A equação mudou em março de 2026 para todos estes sectores. O paper de Cain, Xu e Bluvstein não trouxe um computador quântico funcional, mas trouxe a indicação inequívoca de que ele virá, e mais cedo do que se esperava. O resto da população atravessa a transição sem se aperceber, dentro das atualizações automáticas do software que cada um usa.
Nada disto interrompe o que está a acontecer agora. Em centros de dados como o complexo da NSA em Bluffdale, no deserto do Utah, com cerca de 93 mil metros quadrados de área e 9.300 metros quadrados de sala-máquina, continua a entrar tráfego cifrado vindo de cabos submarinos e redes intercontinentais. Equivalentes operam noutros países, com graus variáveis de informação pública.
O que entra é guardado em formato encriptado, ilegível com os meios atuais. Cada cópia depositada hoje passa a contar a partir do momento em que existir uma máquina capaz de aplicar Shor à escala que os papers de março de 2026 tornaram plausível, e nem o ML-KEM nem nenhum outro algoritmo pós-quântico protege retroativamente o que já foi recolhido.
Em Portugal, o Decreto-Lei 125/2025, publicado a 4 de dezembro de 2025, transpôs a diretiva NIS2 e obriga cerca de seis mil entidades públicas e privadas a adotar medidas de gestão de risco em cibersegurança, com o Centro Nacional de Cibersegurança como autoridade coordenadora. O texto não menciona a palavra “quântica” uma única vez.
