A transição para a era da criptografia pós-quântica precisa começar agora
Por Fábio Maia
Entre os riscos mais temidos pelas grandes corporações para 2026, os ataques cibernéticos estão no topo da lista, superando até mesmo desastres naturais e instabilidades econômicas. Violações de dados, interrupções de sistemas de TI e incidentes de confiabilidade, como o caso envolvendo a CrowdStrike, que completou um ano, figuram entre os maiores pesadelos dos empresários ao redor do mundo, segundo o Barômetro de Riscos Allianz 2025.
Com casos preocupantes de vazamento de dados em larga escala afetando organizações de diversos setores estratégicos, a segurança da informação ganha novos contornos: deixou de ser um tema restrito à área de TI para tornar-se uma pauta central de negócios, governança e, em última instância, de sobrevivência corporativa.
O episódio recente envolvendo a C&M, provedora de soluções de Banking-as-a-Service (BaaS), evidencia falhas sistêmicas graves em diferentes níveis de segurança e governança tecnológica. Como intermediária entre pequenas instituições financeiras e os sistemas do Banco Central, inclusive nas operações via Pix, a C&M ocupa um ponto central na cadeia de pagamentos. Isso a torna especialmente vulnerável a riscos cibernéticos, que neste caso se concretizaram com danos reais.
Embora não se tenha um relatório forense sobre o incidente, pelo menos não com acesso público, o ataque possivelmente explorou brechas na cadeia de suprimentos de software da empresa, ou seja, em bibliotecas e componentes de terceiros utilizados pela C&M (além da alegada venda de credenciais). Esse padrão de ataque, em que adversários buscam um acesso inicial via engenharia social ou cooptação de colaboradores internos e depois exploram vulnerabilidades de configuração ou implementação de software para se mover internamente e ganhar acesso aos seus alvos finais, é típico da maioria dos incidentes.
Existe um motivo para ataques cibernéticos típicos seguirem o padrão acima: é muito mais fácil enganar (ou cooptar) um colaborador da empresa ou encontrar um componente de software mal configurado ou implementado do que quebrar a criptografia por trás de um mecanismo de autenticação ou cifragem.
E é bom que assim seja, porque, caso contrário, a chance de detecção seria mínima: praticamente não existiriam rastros da invasão, uma vez que o acesso do atacante pareceria idêntico a um acesso legítimo. É equivalente a invadir uma casa abrindo a fechadura ao invés de arrombar a porta. Enquanto a maioria dos modos de ataques deixam rastros, uma quebra de criptografia pode ser invisível, permitindo ao atacante retornar sempre que quiser.
Leia também: Salesforce aposta em “empresa agêntica” e anuncia plataforma unificada no Dreamforce 2025
Adversários invisíveis, com chaves-mestras para abrir todas as fechaduras do mundo, caso as providências necessárias não sejam tomadas com antecedência, é justamente o cenário catastrófico que se desenha com a chegada dos computadores quânticos, um divisor de águas para a segurança digital como a conhecemos. Desde a década de 1990, já se conhece um algoritmo quântico (o algoritmo de Shor, um programa feito para ser executado em um computador quântico) capaz de quebrar em questão de horas ou minutos a criptografia que suporta praticamente todos os esquemas de assinatura digital e de estabelecimento de chaves de cifragem da Internet. A única coisa que falta para materializar essa ameaça é a construção de computadores quânticos de tamanho criptograficamente relevante, com centenas de milhares de qubits.
Ainda não sabemos exatamente quando os computadores quânticos de escala e qualidade comercial se tornarão realidade, mas o mesmo valia para a Inteligência Artificial há menos de uma década. Hoje, ela está disseminada e popularizada entre diferentes públicos, dos usuários comuns de redes sociais a especialistas em desenvolvimento de soluções tecnológicas robustas.
É preciso aprender com esse precedente e agir com urgência. A solução já existe: o uso de novos algoritmos criptográficos baseados em estruturas matemáticas que se acredita serem imunes à aceleração quântica (os chamados algoritmos pós-quânticos). A transição para a era da criptografia pós-quântica precisa começar agora.
No mês de julho, a Dell confirmou um vazamento significativo de dados que afetou sua plataforma de testes. O incidente gerou preocupações sobre a segurança de infraestruturas críticas de tecnologia da informação, especialmente aquelas que lidam com dados sensíveis ou processos de desenvolvimento.
Segundo a empresa, um “agente de ameaças” conseguiu acessar um ambiente criado especificamente para provas de conceito, cuja infraestrutura é isolada das redes internas. A Dell afirma que os dados acessados eram sintéticos, utilizados exclusivamente para fins de demonstração.
A maioria desses ataques ainda depende de técnicas “clássicas”, mas é apenas questão de tempo até que atores maliciosos comecem a explorar vulnerabilidades de longo prazo relacionadas à resistência criptográfica, inclusive coletando dados hoje com a intenção de quebrá-los no futuro com ajuda da computação quântica.
Diante deste cenário, a pesquisa e colaboração são cruciais, e comunidade de pesquisa e desenvolvimento já se mobiliza. Em centros de competência especializados em segurança cibernética, já atuamos ativamente na preparação para este futuro, com foco em liderar avanços tecnológicos, desenvolver pesquisas, viabilizar soluções inovadoras e envolver startups na área.
Algumas frentes em andamento incluem:
A criptografia clássica, base de praticamente todos os sistemas de segurança atuais, será insuficiente diante da capacidade de processamento dos computadores quânticos. Embora seja impossível prever com precisão quando esses computadores estarão amplamente disponíveis, a única estratégia racional é começar desde já a transição para algoritmos resistentes à computação quântica, a chamada criptografia pós-quântica (CPQ).
Os desafios são profundos e multifacetados: envolvem desde questões técnicas (como a adaptação de protocolos e softwares legados) até barreiras organizacionais, como a dificuldade de sensibilizar a alta gestão sobre riscos ainda invisíveis no curto prazo.
Seja no sistema financeiro, em centros de tecnologia ou na indústria 4.0, não podemos esperar que o risco se materialize. A inércia pode ter um custo elevado, tanto financeiro quanto reputacional.
Siga o IT Forum no LinkedIn e fique por dentro de todas as notícias!
