Dados criptografados hoje podem estar sendo capturados agora, para serem descriptografados no futuro. Essa é a lógica por trás do “harvest now, decrypt later” (colher agora, descriptografar depois), uma estratégia de ataque que já coloca instituições financeiras entre os alvos mais expostos.
O motivo está no tipo de dado que essas instituições guardam. Contratos, transações e comunicações protegidas hoje precisam manter validade jurídica e sigilo por anos.
Assim, se um invasor capturar esses dados agora, a exposição futura deixa de ser possibilidade e passa a ser questão de tempo.
Segundo o Global Risk Institute, especialistas estimam entre 17% e 34% de chance de existir, até 2034, um computador capaz de quebrar a criptografia RSA-2048 em 24 horas.
Portanto, mesmo com incerteza sobre o prazo exato, o relógio da migração para a criptografia pós-quântica já está correndo.
O que é criptografia pós-quântica?
Criptografia pós-quântica é uma nova geração de algoritmos criados para resistir a ataques de computadores quânticos.
Um computador quântico explora múltiplos estados ao mesmo tempo durante o processamento. Por isso, operações que hoje levariam séculos para serem quebradas por força bruta podem, no futuro, ser resolvidas em minutos.
Os algoritmos que sustentam a confiança digital atual, como RSA (Rivest-Shamir-Adleman), ECDSA e Ed25519, foram projetados para resistir a ataques de computadores clássicos. Porém, nenhum deles, foi pensado para o mundo quântico.
Diante disso, o National Institute of Standards and Technology (NIST), órgão responsável por padronizar tecnologias de segurança, encerrou em 2024 o processo de seleção de uma nova geração de algoritmos resistentes a esse tipo de ataque.
Entre os destaques estão o CRYSTALS-Dilithium, novo padrão para assinaturas digitais, e o CRYSTALS-Kyber, voltado para troca segura de chaves.
Falcon e SPHINCS+ completam o conjunto de novas fundações criptográficas.
Quais dados financeiros correm mais risco?
Contratos de longo prazo, registros de transações com obrigação de guarda regulatória e comunicações sigilosas entre instituições concentram o maior risco.
Todos compartilham a mesma característica: precisam permanecer protegidos por anos, às vezes décadas, depois de criados.
Como funciona a transição para a criptografia pós-quântica?
Na prática, a transição para a criptografia pós-quântica acontece por meio de um modelo híbrido. Nesse modelo, assinaturas clássicas e pós-quânticas coexistem no mesmo artefato digital durante o período de migração.
Enquanto os sistemas legados ainda dependem de algoritmos clássicos, a camada pós-quântica já garante proteção contra o risco de captura antecipada de dados.
Assim, a operação segue funcionando sem interrupção, ao mesmo tempo em que a proteção evolui em paralelo.
França já sinalizou o ritmo dessa transição. A ANSSI (Agência Nacional de Segurança dos Sistemas de Informação) francesa vai parar de certificar produtos sem resistência quântica a partir de 2027, com expectativa de que empresas comprem apenas produtos quantum-safe até 2030.
Nos Estados Unidos, a NSA (Agência de Segurança Nacional) estabeleceu o padrão CNSA 2.0, com prazo até janeiro de 2027 para novos sistemas de defesa.
A Google Cloud publicou um roadmap dividido em três fases: proteção contra captura antecipada de dados até o fim de 2027, segurança de assinaturas digitais e certificados até o fim de 2028, e prontidão completa até 2029.
Por que a criptografia pós-quântica é urgente para o setor financeiro?
A urgência para o setor financeiro nasce da combinação entre dados de longa duração e exigência regulatória crescente. Três fatores concentram esse risco.
Primeiro, o prazo de validade jurídica de contratos e assinaturas digitais. Documentos financeiros costumam precisar de validade legal por cinco, dez ou mais anos.
Além disso, existe a tendência regulatória. Órgãos como Febraban (Federação Brasileira de Bancos) e BACEN (Banco Central do Brasil) acompanham de perto movimentos internacionais de segurança digital.
Logo, o precedente já criado pela França e pelos Estados Unidos tende a se tornar referência de auditoria e compliance no Brasil também.
Por fim, há a vantagem competitiva de quem se antecipa. Instituições que migram cedo evitam o custo de uma transição emergencial e já saem na frente em auditorias de segurança que devem se tornar mais rigorosas.
Perguntas frequentes sobre criptografia pós-quântica
Quando a criptografia pós-quântica se torna obrigatória no Brasil?
Ainda não existe prazo obrigatório fixado por reguladores brasileiros. Contudo, o precedente internacional, com França e Estados Unidos já em movimento, tende a se tornar referência de auditoria e compliance no país.
Quais algoritmos substituem RSA e ECDSA?
Os principais substitutos definidos pelo NIST são CRYSTALS-Dilithium e Falcon para assinaturas digitais, CRYSTALS-Kyber para troca de chaves, e SPHINCS+ como alternativa baseada em hash.
Instituições financeiras já precisam agir agora?
Sim, especialmente empresas que lidam com dados de longa validade jurídica. Nesse caso, o modelo híbrido de transição permite começar a migração sem substituir toda a infraestrutura de uma vez.
O que fazer a partir de agora?
Bancos brasileiros ainda não têm prazo obrigatório para a criptografia pós-quântica. Ainda assim, o precedente internacional tende a se tornar referência de auditoria e compliance, e a janela para uma migração planejada, sem pressa emergencial, está aberta agora.
A Orbital ajuda instituições financeiras a diagnosticar a maturidade em segurança e arquitetura de dados, e a desenhar o caminho de migração mais adequado ao ritmo de cada operação.
Precisa de ajuda? Fale com a gente.
«div id=”calltoaction” style=”display: none”›Que falar sobre ‹b>Segurança Digital
