Harvest now, decrypt later: o ataque que já começou

Há uma categoria de ataque informático que não dispara alarmes, não bloqueia sistemas e não pede resgate.

Nem sequer precisa de conseguir abrir aquilo que rouba.

Chama-se harvest now, decrypt later — captar agora, decifrar depois. E, ao contrário de quase tudo o resto em cibersegurança, o dano não se mede no dia do incidente. Mede-se numa década.

Como funciona

O ataque tem duas fases, separadas por anos.

Fase um, hoje. Um adversário intercepta e armazena tráfego cifrado ou cópias de bases de dados. Não consegue ler nada. Guarda na mesma — armazenamento é barato, e o conteúdo não perde valor.

Fase dois, no futuro. Quando existir um computador quântico suficientemente poderoso, o algoritmo de Shor resolve em tempo viável os problemas matemáticos em que assenta a criptografia de chave pública actual. O RSA cai. As curvas elípticas caem. O Diffie-Hellman cai.

Nesse dia, tudo o que foi guardado abre-se de uma vez.

A diferença face a uma violação de dados convencional é o tempo. Numa violação clássica, sabe-se que aconteceu e reage-se. Aqui, a captura é silenciosa e a exposição é retroactiva: os dados que hoje considera protegidos podem já estar numa qualquer cópia à espera da chave.

Porque é que isto não é um problema de 2040

A tentação é adiar. Se o computador quântico relevante ainda não existe, porquê agir agora? Porque a conta não é sobre quando ele chega. É sobre quanto tempo os seus dados precisam de continuar secretos.

O criptógrafo Michele Mosca formalizou isto numa desigualdade simples:

X + Y > Q

X = anos durante os quais os dados têm de permanecer confidenciais

Y = anos necessários para migrar a criptografia da organização

Q = anos até existir um computador quântico relevante

Se X + Y for maior que Q, os dados já estão em risco.

Um exemplo concreto. Um contrato de crédito exige sigilo durante 25 anos (X = 25). Migrar toda a criptografia de uma instituição financeira leva, realisticamente, seis anos (Y = 6). As estimativas correntes situam o computador quântico relevante a cerca de 15 anos (Q = 15).

25 + 6 = 31. Contra 15.

Os dados assinados este ano estarão legíveis muito antes do fim do período em que deviam permanecer confidenciais. E não há nada que se faça nesse dia que desfaça a cópia feita hoje. Por isso é que, nesta ameaça específica, adiar a defesa não adia o dano — apenas garante que ele já está a acumular-se.

Quem está mais exposto

Nem todos os dados têm o mesmo valor no futuro. Os alvos prioritários são aqueles cuja confidencialidade tem de sobreviver a décadas:

• Financeiro — transacções, contratos, segredos bancários
• Saúde — registos clínicos e dados genómicos, que não expiram
• Governo e defesa — segredos de Estado, comunicações classificadas
• Comunicações e propriedade intelectual — investigação, patentes, mensagens

Se a resposta à pergunta "isto ainda tem de ser secreto daqui a dez anos?" for sim, o dado está na lista.

O cadeado não chega

Existe um equívoco comum: assumir que o cadeado do HTTPS já resolve. Não resolve. O aperto de mão que abre cada ligação segura — o handshake — continua a usar RSA e curvas elípticas para negociar a chave de sessão. É exactamente esse passo que a computação quântica quebra. Quebrado o handshake, o atacante obtém a chave de sessão e decifra tudo o que se seguiu, mesmo que os dados sigam protegidos com AES-256.

A cifra simétrica resiste razoavelmente. A negociação da chave é que não.

O relógio já foi definido

Isto deixou de ser matéria de investigação e passou a ser calendário. O NIST publicou em 2024 os primeiros padrões de criptografia pós-quântica — ML-KEM, ML-DSA e SLH-DSA — e recomenda depreciar RSA e ECC até 2030, com migração completa até 2035 (fonte: NIST IR 8547, 2024).

O estado real da adopção mostra a distância a percorrer. Em Dezembro de 2025, cerca de 52% do tráfego web já usava troca de chaves pós-quântica; no sector bancário, a adopção rondava os 3% (fonte: Cloudflare Radar, Dezembro de 2025). Mais de 90% do mundo digital continua vulnerável.

Não é um problema de normas — as normas existem desde 2024. É um problema de execução.

O que fazer, por ordem

A migração criptográfica assusta porque parece um projecto de reescrever tudo. Não é — se for feita por camadas.

1. Inventário criptográfico. Não se protege o que não se conhece. Que sistemas cifram dados, com que algoritmos, e durante quanto tempo essa informação tem de permanecer secreta?
2. Priorizar por X, não por criticidade aparente. O sistema mais crítico hoje não é necessariamente o mais exposto ao risco quântico. O que importa é a longevidade do segredo.
3. Adoptar criptografia híbrida. Combinar o clássico com o pós-quântico mantém a compatibilidade e continua seguro mesmo que uma das camadas venha a falhar.
4. Migrar rota a rota, não de uma vez. Uma aplicação, um endpoint, um fluxo de backup de cada vez. Sem big-bang, sem paragens.
5. Tratar chaves como algo vivo. Rotação automática com TTL curto reduz a janela de exposição e diminui o valor de qualquer captura feita hoje.

O ponto essencial

A ameaça quântica é invulgar porque inverte a ordem habitual: o ataque acontece antes de a defesa ser tecnicamente possível de ignorar.

Não se trata de prever quando chega o computador quântico. Trata-se de reconhecer que, se a sua informação precisa de sobreviver à década, a decisão de migrar já não é sobre o futuro — é sobre o que está a ser copiado agora.

A PosQuantum ajuda organizações a migrar para criptografia pós-quântica de forma incremental, sem reescrever sistemas. NIST FIPS 203/204/205 Compliant.