Quando chega o Q-Day? O que a investigação mostra em 2025 e 2026

O que se entende por Q-Day

«Q-Day» designa o dia em que um computador quântico conseguirá quebrar a criptografia de chave pública hoje generalizada. Trata-se sobretudo do RSA e dos algoritmos sobre curvas elípticas, em que assentam o TLS, as VPN, as assinaturas de código, as PKI e as identidades digitais. Os especialistas falam de um computador quântico criptograficamente relevante, abreviado CRQC.

Que uma máquina destas poderia quebrar estes algoritmos sabe-se desde 1994, quando Peter Shor publicou os respetivos algoritmos quânticos. Em aberto está quando poderá ser construída uma máquina suficientemente grande e com poucos erros. Sobre esta questão, a investigação avançou de forma clara em 2025 e 2026. Este artigo resume os trabalhos mais importantes e enquadra o que demonstram e o que não demonstram.

Um conceito prévio: os computadores quânticos atuais funcionam com qubits físicos, que são propensos a erros. Através da correção quântica de erros, muitos qubits físicos são agrupados num qubit lógico mais estável. Por isso, as estimativas de recursos indicam geralmente os dois números. Para saber a que distância está ainda o hardware, conta o número de qubits físicos.

O que esperam os especialistas: o Quantum Threat Timeline Report

O inquérito de longo prazo mais conhecido é o Quantum Threat Timeline Report do Global Risk Institute. Para o elaborar, Michele Mosca e Marco Piani, da evolutionQ, questionam todos os anos especialistas da investigação e da indústria. A sétima edição, datada de 9 de março de 2026, baseia-se nas respostas de 26 especialistas. Global Risk Institute

O resultado: os inquiridos consideram «bastante possível» um computador quântico criptograficamente relevante nos próximos dez anos, com uma probabilidade de 28 a 49 %. Em 15 anos, consideram-no «provável», com 51 a 70 %. A série de relatórios define uma máquina destas como um computador capaz de quebrar o RSA-2048 em 24 horas.

Um inquérito a 26 pessoas não é uma medição. O seu valor está na série temporal: a mesma pergunta é feita há anos, e as estimativas foram-se antecipando de edição para edição.

O que espera o BSI

Desde 2017, o BSI, o serviço federal alemão de segurança da informação, manda avaliar o estado de desenvolvimento dos computadores quânticos num estudo próprio, atualizado pela última vez em 2025. A diretriz nacional alemã para a migração pós-quântica resume assim o resultado: é provável que um computador quântico destes seja realizável no prazo máximo de 15 anos, ou seja, até 2040 ou antes. Os pressupostos fundamentais da correção quântica de erros foram totalmente verificados em 2024, e novos avanços podem encurtar consideravelmente o prazo. Diretriz, PDF

Para o domínio de alta segurança, o Governo Federal alemão é mais prudente. Aí, trabalha com a hipótese de que os computadores quânticos criptograficamente relevantes estarão disponíveis no início da década de 2030. A diretriz cita a este respeito uma Bundestagsdrucksache (documento parlamentar oficial do Bundestag alemão) de fevereiro de 2025.

As estimativas do BSI e dos especialistas estão, assim, próximas: nenhuma revolução amanhã, mas uma possibilidade realista dentro do tempo de vida dos sistemas que hoje se planeiam.

As estimativas de hardware estão a descer

O que mais se alterou foram as estimativas sobre o tamanho que um computador quântico teria de ter para um ataque. Três trabalhos de 2025 e 2026 estão no centro desta evolução.

RSA-2048 com menos de um milhão de qubits. Em maio de 2025, Craig Gidney, da Google Quantum AI, estimou que um computador quântico com menos de um milhão de qubits ruidosos poderia fatorizar um número RSA de 2048 bits em menos de uma semana. arXiv:2505.15917 Em 2019, a sua estimativa com Martin Ekerå ainda era de 20 milhões de qubits. arXiv:1905.09749 Os pressupostos de hardware mantiveram-se iguais: uma grelha quadrada com ligações apenas a vizinhos, uma taxa de erro de 0,1 % por porta e um ciclo de correção de erros de um microssegundo. A poupança resulta de melhores algoritmos e de uma correção de erros mais eficiente, não de melhor hardware. O preço é um tempo de execução mais longo.

RSA-2048 com cerca de 100 000 qubits. Em fevereiro de 2026, a empresa australiana Iceberg Quantum apresentou a arquitetura «Pinnacle». Esta substitui a correção de erros habitual pelos chamados códigos qLDPC. Com os mesmos pressupostos de taxa de erro e de frequência, a Iceberg estima cerca de 98 000 qubits físicos com cerca de um mês de execução, ou cerca de 471 000 qubits para cerca de um dia. arXiv:2602.11457 Até agora, a arquitetura só foi testada em simulações. Exige ligações entre qubits muito afastados e uma descodificação de erros muito rápida, e nenhuma das duas foi ainda demonstrada a esta escala.

Curvas elípticas em minutos. No final de março de 2026, a Google Quantum AI, em conjunto com investigadores da Ethereum Foundation e da Universidade de Stanford, publicou estimativas de recursos para curvas de 256 bits, que protegem, entre outros, a Bitcoin e a Ethereum. Dois circuitos otimizados precisam de menos de 1200 qubits lógicos e menos de 90 milhões de portas Toffoli, ou de menos de 1450 qubits lógicos e menos de 70 milhões de portas Toffoli. Em hardware supercondutor com uma taxa de erro de 0,1 %, isto corresponde a menos de 500 000 qubits físicos e a um tempo de execução de poucos minutos. A Google quantifica isto como uma redução de cerca de 20 vezes face à melhor estimativa anterior. Google Research, arXiv:2603.28846

Também é digna de nota a forma como a Google publicou. Os circuitos em si não foram publicados, para não dar aos atacantes um manual. Em vez disso, uma prova de conhecimento zero demonstra que as estimativas estão corretas. Para as empresas, é um sinal: a própria investigação trata hoje o tema como relevante para a segurança.

O que os números não dizem

Por mais impressionante que seja a curva, os trabalhos têm limites claros.

• A máquina não existe. O chip Willow da Google tinha, na sua apresentação em dezembro de 2024, 105 qubits e demonstrou correção de erros abaixo do limiar crítico. Google O hardware está muito longe de centenas de milhares de qubits que calculem com correção de erros durante dias ou semanas.
• Os pressupostos são otimistas, mas não exóticos. Todas as estimativas referidas pressupõem uma taxa de erro de 0,1 % e tempos de ciclo na ordem dos microssegundos. Algumas plataformas atingem hoje esses valores, mas não a esta escala nem de forma duradoura.
• A maioria dos trabalhos são preprints. Ainda não foram revistos por pares. No caso da Iceberg, acresce que os resultados provêm apenas de simulações.
• O progresso vem dos algoritmos. Esse é também o lado preocupante. Todas as reduções dos últimos anos vieram de melhor matemática e de melhor correção de erros. Avanços deste tipo são difíceis de prever e podem surgir de repente.

Quem daqui deduz uma data exata está a ler mais do que os trabalhos permitem. A afirmação sólida é outra: em sete anos, a fasquia desceu mais de uma ordem de grandeza, sem que os pressupostos de hardware se tenham alterado.

Porque é que a incerteza não é motivo para esperar

Para o planeamento, ajuda um raciocínio simples que remonta a Michele Mosca. Há três períodos a comparar:

• durante quanto tempo os dados têm de permanecer confidenciais,
• quanto tempo demora a transição para a criptografia pós-quântica,
• quanto tempo falta até existir um computador quântico criptograficamente relevante.

Se a soma dos dois primeiros for superior ao terceiro período, a transição chega tarde demais. Os dados intercetados e armazenados hoje poderão então ser decifrados mais tarde («Store now, decrypt later»).

O roteiro da UE para a migração pós-quântica assenta precisamente nisto. Classifica os casos de utilização como de risco elevado quando os dados têm de permanecer confidenciais durante pelo menos dez anos, e estima a duração de uma transição completa em cinco a dez anos. Roteiro da UE, PDF Mesmo quem só espera o Q-Day em 2040 chega, com dez anos de confidencialidade e cinco anos de transição, a um início o mais tardar em 2025.

Nas assinaturas, a pressão é menor, porque uma assinatura só tem de resistir até o computador quântico existir. Em contrapartida, é aí que os tempos de transição são mais longos: PKI, atualizações de firmware e dispositivos com uma longa vida útil não se reconstroem num ano. Por isso, o roteiro da UE exige que as atualizações de software e firmware sejam assinadas por predefinição de forma segura face à computação quântica até 2030.

Conclusão

A investigação não fornece uma data para o Q-Day, mas sim uma direção clara. Os especialistas consideram bastante possível um computador quântico criptograficamente relevante dentro de dez anos, o BSI considera-o provável até 2040, e os requisitos de hardware estimados desceram fortemente em 2025 e 2026. Para as empresas, o ano exato não é, de qualquer modo, a questão decisiva. Decisivo é saber se os próprios dados têm de permanecer confidenciais durante mais tempo do que a transição permite. Que datas as autoridades daí retiram e o que é vinculativo pode ler em Criptografia pós-quântica: os prazos de 2026, 2030 e 2035 e o que é vinculativo.

Fontes

• Quantum Threat Timeline Report 2025 (Michele Mosca, Marco Piani, Global Risk Institute, 9 de março de 2026)
• Nationale Umsetzung der EU-Roadmap zur Umstellung auf Post-Quanten-Kryptografie (diretriz conjunta do BMDS, do BMI e do BSI, 12 de outubro de 2026)
• How to factor 2048 bit RSA integers with less than a million noisy qubits (Craig Gidney, arXiv, 21 de maio de 2025)
• How to factor 2048 bit RSA integers in 8 hours using 20 million noisy qubits (Craig Gidney, Martin Ekerå, arXiv 2019, publicado na Quantum em 2021)
• The Pinnacle Architecture: Reducing the cost of breaking RSA-2048 to 100 000 physical qubits using quantum LDPC codes (Iceberg Quantum, arXiv, fevereiro de 2026)
• Securing Elliptic Curve Cryptocurrencies against Quantum Vulnerabilities: Resource Estimates and Mitigations (Babbush, Zalcman, Gidney et al., arXiv, 30 de março de 2026)
• Safeguarding cryptocurrency by disclosing quantum vulnerabilities responsibly (Google Research, 31 de março de 2026)
• Meet Willow, our state-of-the-art quantum chip (Google, 9 de dezembro de 2024)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream do NIS Cooperation Group, junho de 2025)