Urnas eletrônicas: o que os testes, as invasões e as auditorias realmente provam

Voto impresso, auditoria e confiança: o debate que o Brasil não consegue fazer em voz alta

Dá para confiar nas urnas eletrônicas? O que os testes, as invasões e as auditorias realmente provam

O Brasil passou anos discutindo a segurança das urnas eletrônicas de forma quase sempre polarizada. De um lado, vulnerabilidades reais encontradas em testes oficiais e invasões ao TSE; do outro, auditorias independentes que não encontraram divergência. A questão central não é se a urna pode ser atacada — é se alguém conseguiu usar um ataque para mudar de fato uma eleição.

"A verdade vos libertará." — João 8:32

A segurança não é um estado mágico em que nada nunca falha. Segurança é o processo de encontrar a falha, corrigir e conferir de novo. Esta é a história dos dois documentos que parecem contar histórias opostas — e que, na verdade, não se contradizem.

As duas perguntas que o Brasil tratou como uma só

Há um ano, como relator da reforma eleitoral, o deputado que acolheu uma proposição do PDT dizia haver necessidade de aprimorar o sistema de urnas. A insegurança, segundo ele, era que, depois de apertar o número e confirmar o voto, "você nunca mais vai saber se aquele seu voto vai ser contado mesmo ou não".

O Tribunal Superior Eleitoral publicou um relatório técnico do último teste público de segurança: em 2017, num teste oficial, um grupo de pesquisadores conseguiu rodar um código que não deveria estar dentro de uma urna. Em 2022, o Tribunal de Contas da União juntou milhares de boletins de urna e comparou campo por campo com o resultado publicado — sem encontrar qualquer divergência.

Qual dos dois documentos está certo? Os dois. Para entender, é preciso separar duas perguntas que o Brasil tratou como uma só: (1) uma urna pode ser atacada? e (2) alguém conseguiu usar esse ataque para mudar de fato uma eleição?

O boletim de urna: a prova que a eleição produz

A urna não imprime o voto, mas imprime o boletim de urna — um documento que registra o total de votos da sessão, quantas pessoas votaram em cada candidato e quantas escolheram branco ou nulo. O papel sai da impressora antes de a urna transmitir qualquer coisa, e cópias ficam coladas na porta da escola, fotografadas por fiscais e jornalistas. As eleições produzem mais de meio milhão desses papéis no mesmo dia.

O número que aparece no telão do TSE é a soma dos boletins. Para manipular uma eleição num computador central, alguém teria que fazer o número publicado deixar de bater com as centenas de milhares de papéis já na mão de todos — e torcer para ninguém usar a calculadora.

Foi o que o TCU fez em 2022: sorteou uma amostra de mais de 4.000 boletins, conferiu cada campo em cerca de 6 milhões de informações e não encontrou nenhuma divergência.

O limite da auditoria: as três coisas que uma eleição precisa provar

O problema é que a comparação do TCU começa depois que a urna já escreveu o boletim. Ela confere o caminho do papel até o resultado, mas não entra na cabine para reconstruir a escolha do eleitor. Uma eleição precisa provar três coisas:

1. que a máquina registrou o candidato que o eleitor quis;
2. que ela guardou o que foi confirmado;
3. que a soma de tudo bateu no total.

O sistema brasileiro é muito forte na terceira coisa, mas mais frágil na primeira e na segunda — porque quem mostra a tela, grava o voto e imprime o boletim é o mesmo programa dentro da mesma máquina.

O exemplo das duas urnas ilustra: na urna A, apertar A mostra A e guarda A; na urna B, apertar A mostra A, mas guarda B. As duas imprimem um boletim coerente com o que guardaram — e nenhum controle que a própria máquina produz pega sozinho a urna B.

O Teste de Integridade e o que ele prova

O TSE testa isso por meio do Teste de Integridade. Na véspera da eleição, a Justiça Eleitoral sorteia algumas urnas prontas para funcionar e as direciona a uma votação paralela, onde os votos digitados já estão registrados em cédulas de papel. Diante da imprensa e de fiscais, cada voto escrito no papel é digitado na urna, e as duas contagens são comparadas.

O valor do teste está em comparar o registro produzido pela máquina com uma referência que existe fora dela. Em 2022, nas urnas sorteadas, as duas contagens bateram. O teste prova que um número limitado de urnas sorteadas registrou certo aqueles votos — o que dificulta uma fraude colossal que mexesse em todas as urnas. Mas o teste não recontar os votos de verdade dos eleitores, porque não cobre todas as zonas do país.

Os ataques reais: 2012, 2017 e 2018

O ataque mais popular — invadir a urna pela internet no meio da votação — é o mais incompatível com o funcionamento real. Durante a votação, a urna não tem qualquer conexão de rede: sem Wi-Fi, sem cabo, fica offline. A conexão só aparece depois que a votação fecha, quando os arquivos viajam por uma rede até serem somados.

• 2012 — uma equipe da UnB, liderada por Diego Aranha, encontrou uma falha na forma como a urna escondia a ordem dos votos. O sorteio das posições começava pela hora exata em que o sistema era iniciado — e esse horário podia ser descoberto nos registros públicos. Os pesquisadores refizeram o embaralhamento e recuperaram a sequência inteira nas eleições simuladas, mas não identificaram os eleitores nem alteraram qualquer voto. A falha de sigilo foi corrigida.
• 2017 — o problema foi mais sério. A urna tem uma proteção para impedir a instalação de programas não autorizados, reconhecidos por assinatura digital. Os pesquisadores encontraram uma combinação de falhas: uma chave criptográfica acessível, partes do sistema sem todas as verificações e um erro no mecanismo que conferia a assinatura digital. Conseguiram fazer a urna de teste aceitar e executar um programa próprio, alterar informações na tela, modificar registros internos e alcançar a parte do software que guarda os votos — sem quebrar a criptografia. Foi uma vulnerabilidade real e grave. Mas demonstrar que isso virou fraude numa eleição nacional é outra coisa: uma fraude nacional precisaria permanecer compatível com os boletins de papel, as assinaturas, os testes e os dados distribuídos. O teste demonstrou a porta aberta, não a cadeia acontecendo numa eleição de verdade. O TSE corrigiu as falhas, como os pesquisadores reconheceram.
• 2018 — não foi um teste: hackers realmente invadiram os sistemas do TSE, permaneceram meses na rede e copiaram o código-fonte de um programa usado na preparação das urnas, além de credenciais e documentos internos. Parte dos registros que ajudaria a reconstruir o que fizeram não foi preservada. A invasão foi séria, mas entrar na rede do TSE está muito longe de alterar votos dentro de uma urna: ter o código permite estudar o sistema, não modificar o código e colocar a versão adulterada nas máquinas. Não apareceu evidência de que os invasores atravessaram essa camada.

As acusações de 2022: o relatório das Forças Armadas e o número 67.305.985

O salto que as acusações de 2022 tentaram dar foi exatamente o uso de um ataque numa votação real e o tamanho necessário para mudar um vencedor. O presidente do PL, Valdemar Costa Neto, pediu a anulação dos votos de quase 280.000 urnas no segundo turno.

O relatório das Forças Armadas tem duas metades: a primeira diz que as forças não reconhecem qualquer fraude, porque os boletins foram comparados com o resultado e coincidiram; a segunda diz que não foi possível excluir toda e qualquer possibilidade de um código malicioso, por causa dos limites de acesso e do tamanho do sistema. O relatório não trouxe um código adulterado, nem um boletim divergente ou um voto trocado — trouxe uma ressalva.

A segunda contestação técnica do PL tinha no centro o número 67.305.985, que apareceu nos registros de milhares de urnas antigas. O argumento era que, se tantas urnas apareciam com o mesmo identificador, não seria possível saber de qual máquina vinha cada arquivo. A explicação: nos modelos antigos, por uma falha de programação, a urna repetia sempre o mesmo número em um campo — mas o bug afetava apenas aquele campo, e os arquivos continuavam trazendo município, zona, sessão e código de carga, que permitiam identificar a urna. Diferentes pesquisadores chegaram à mesma conclusão.

Havia ainda uma incoerência: as mesmas urnas antigas foram usadas no primeiro turno, quando o PL elegeu a maior bancada da Câmara — mas o pedido de Bolsonaro só previa anular o segundo turno. E um defeito que só atrapalha o adversário e nunca a si mesmo não é exatamente uma denúncia.

Sobre a alegação de que as urnas antigas registraram proporcionalmente mais votos para Lula: é verdade, mas as urnas não foram distribuídas num sorteio de bingo. Os modelos mais novos foram parar em maior proporção nas regiões mais urbanas e ricas; os antigos, no interior. Interior e cidade grande votam diferente por renda, perfil e região — não por causa da urna. Entre 2018 e 2022, a votação de Bolsonaro em cada município é quase idêntica, com correlação acima de 97%: onde ele foi bem em 2018, foi bem em 2022, com a urna que fosse.

A crítica à urna não nasceu com Bolsonaro

A crítica à urna esteve ligada ao bolsonarismo nos últimos anos, mas essa não é uma acusação justa. Durante décadas, desconfianças foram compartilhadas por lideranças de todo o espectro político:

• Folha de S.Paulo, junho de 2002: Lula colocou a urna sob suspeita, dizendo que nada é infalível e acusando a Abin.
• 1994: no tempo da contagem em papel, Lula disse que desviar dois ou três milhões de votos seria "mais fácil que tirar pirulito de criança".
• 2000: Leonel Brizola (PDT) acusou a Abin de ter posto um programa escondido nas urnas, sem apresentar prova.
• 2000: Eduardo Suplicy levou ao ministro Nelson Jobim um desenho de urna com voto impresso conferível.
• março de 2002: Ciro Gomes disse explicitamente temer fraude nas urnas.
• José Sarney ameaçou recorrer à ONU e à OEA por observadores internacionais.
• Flávio Dino, atual ministro do STF, questionou a segurança das urnas em inúmeras oportunidades: em 2009, como deputado, foi relator de reforma que trouxe de volta o voto impresso; depois publicou que alguém com acesso ao controle das urnas poderia alterar o resultado e que as urnas seriam "completamente inseguras e suscetíveis a fraudes".

Dos anos 1990 até pouco tempo, a defesa do voto impresso passou por quase todo o espectro político — PMDB (Roberto Requião), PT (José Dirceu), PDT, PSDB, PSB, PSOL. Bolsonaro não inventou a crítica à urna; ele mudou a função política da crítica — partindo de uma crítica legítima para sustentar uma acusação sem prova.

Quem inventou e fabrica a urna

A urna brasileira não é um produto comprado pronto de empresa estrangeira — o projeto pertence à Justiça Eleitoral. A primeira urna começou a ser desenvolvida em 1995, com técnicos do TSE e especialistas do ITA, do IMP, do Ministério das Comunicações e das Forças Armadas. O TSE escreve um edital gigantesco com as especificações, uma empresa vence a licitação e fabrica o equipamento.

As fabricantes mudaram ao longo do tempo: a primeira urna de 1996 foi da Unisys; a Procomp fabricou modelos de 1998 e 2000; vieram anos de Diebold; e os modelos 2020 e 2022 são da Positivo. Em 30 anos, quatro empresas produziram fisicamente as urnas. A Smartmatic não fabrica a urna brasileira nem escreveu o programa que registra os votos — teve contratos com a Justiça Eleitoral para serviços auxiliares e perdeu a licitação das novas urnas em 2020 para a Positivo.

O software: a parte central é desenvolvida dentro do próprio TSE. Nos primeiros anos, a empresa fabricante participava do desenvolvimento; em 2005, o TSE assumiu essa tarefa; em 2008, a equipe reescreveu a plataforma para rodar sobre Linux. Há participação da Abin por meio do Cepesc (Centro de Pesquisa em Segurança das Comunicações), que desenvolve componentes criptográficos — mas as chaves secretas ficam com o TSE e o código pode ser inspecionado no processo de fiscalização.

O Brasil no mundo: a peculiaridade da urna brasileira

Muitos países usam urna eletrônica, mas geralmente não votam da mesma forma. A Estônia permite voto pela internet; as Filipinas votam em papel e uma máquina lê a cédula; a Bélgica usa máquinas que produzem registro físico; os EUA têm dezenas de sistemas diferentes.

Tecnicamente, a urna brasileira é uma máquina de registro eletrônico direto (DRE): o registro oficial do voto nasce e permanece eletrônico, e o eleitor não produz uma cédula física individual que possa conferir. Quando a comparação se restringe a essa peculiaridade, o grupo fica muito menor:

• Índia — também tem centenas de milhões de eleitores e máquinas offline, mas mudou o sistema: hoje toda máquina funciona com uma VVPAT (impressora que produz uma cédula mostrando o voto, que aparece atrás de um vidro e cai numa caixa lacrada). Desde a eleição de 2019, isso existe em todas as sessões indianas.
• Paraguai usou as urnas brasileiras em 2001, 2003, 2004 e 2006, mas desde então adota modelo diferente.
• Namíbia começou a usar urnas em 2014, sem trilha de papel verificável; depois da eleição de 2019, a Suprema Corte decidiu que o país não poderia continuar sem prova material física, e desde 2020 a Namíbia voltou à cédula de papel.

O Brasil não é o único país que vota eletronicamente, mas ocupa uma posição incomum: usa, em praticamente todo o território e para mais de 150 milhões de eleitores, uma máquina que registra diretamente o voto em formato eletrônico, sem produzir para cada eleitor uma segunda representação física independente. Muitas democracias que usam máquinas escolheram acrescentar essa segunda camada.

O que mudaria com o voto impresso

Se o Brasil acrescentasse papel à urna, o eleitor votaria praticamente da mesma forma: digitaria o número, veria o candidato e confirmaria. A diferença estaria no final: a máquina produziria uma cédula com a escolha, que o eleitor veria atrás de um visor (sem levar para casa nem fotografar), e que cairia automaticamente numa urna lacrada. Haveria dois registros do mesmo voto — um eletrônico e um físico conferido pelo eleitor.

A apuração não precisaria voltar a 1989: a urna continuaria somando eletronicamente, imprimindo o boletim e transmitindo o resultado. O papel teria outra função: auditar. Uma forma é a auditoria de limitação de risco: após a eleição, um sorteio público de cédulas ou sessões compararia o resultado eletrônico com os votos físicos. Se a eleição terminasse com diferença grande, uma amostra pequena bastaria; se a disputa fosse apertada, seria necessário conferir mais; no limite, seria necessário contar todos os votos.

Mas instalar uma impressora não resolve nada sozinho. A lei teria que responder perguntas nunca resolvidas: quem guarda os papéis, como são lacrados e transportados, quem acompanha a auditoria, como se sorteia a amostra, quantas divergências fazem a conferência aumentar — e, principalmente, se o eletrônico disser A e o papel disser B, qual dos dois vale. Sem essa regra, o papel pode abrir uma segunda contagem para cada derrotado contestar.

Há ainda o problema humano: o papel só é independente do software porque existe uma pessoa entre os dois. Em 2002, quando o Brasil testou o voto impresso com mais de 7 milhões de eleitores, houve filas, falhas de impressoras e problemas de operação; no Rio de Janeiro, cerca de 60% dos eleitores nem chegaram a examinar o voto impresso. Estudos mais recentes encontram o mesmo problema.

E há o custo: centenas de milhares de impressoras, caixas lacradas, papel, manutenção, transporte, armazenamento, treinamento e auditoria. Em 2021, o TSE estimava em aproximadamente R$ 2 bilhões a implantação da proposta discutida naquele momento.

As mudanças propostas

Para reduzir as fragilidades, o texto sugere três mudanças:

1. Auditoria externa permanente, não só nas janelas de teste que o tribunal abre, com compilação reprodutível — um jeito de qualquer pessoa de fora conferir se o programa que roda na urna é o mesmo mostrado no código.
2. Certificação e perícia independentes — um laudo técnico externo, público e assinado, para que, quando alguém contestasse o sistema, um perito tivesse acesso igual à prova. Hoje, quem julga a crítica ao sistema é, em boa parte, quem opera o sistema.
3. Pilotos de independência de software — voto impresso bem desenhado ou soluções com prova matemática, testados em pequena escala, com regra definida de antemão para qual registro vale, quando a conferência aumenta e como um resultado errado seria corrigido antes da posse.

As falhas na condução institucional

O texto aponta que a discussão, comum a qualquer democracia, ficou difícil de ser estabelecida em voz alta no Brasil. De um lado, transformaram a limitação técnica da urna numa prova de golpe; do outro, passaram a tratar quem aponta a limitação como se estivesse ajudando um golpe.

Há críticas concretas à condução do TSE:

• Uma página da Justiça Eleitoral montada para desmentir boatos lista 10 fake news e inclui "a urna é vulnerável a ataques internos" — mas ataque interno não é boato, é um vetor real, e os próprios testes do TSE produziram achados ligados a acesso interno. A página resume tudo como boato e apaga essa diferença.
• Em 2021, no auge da confusão, autoridades disseram que "apoiar a urna é defender a democracia". O efeito colateral: se apoiar o modelo atual é defender a democracia, propor um modelo diferente vira automaticamente uma ameaça à democracia — e não sobra espaço para quem prefere papel ou só quer entender como o modelo funciona.
• Em 2021, o TSE mandou tirar a monetização de 14 canais de uma única vez, de forma preventiva, no meio de uma investigação sobre desinformação. A medida foi coletiva, cautelar e veio antes de qualquer julgamento individual; durou 18 meses. Depois a monetização foi restabelecida e o inquérito foi arquivado sem julgamento individual de mérito. O arquivamento não prova que os canais falavam a verdade, mas revela muito sobre as instituições.

Como outros países lidam com a mentira sobre eleições

• Canadá aprovou uma lei que alcança até mentira sobre a contagem e o resultado — mas é preciso provar que a pessoa sabia que a declaração era falsa, com a decisão de um juiz.
• Austrália — a autoridade que organiza a eleição diz que não quer ser a árbitra da verdade política, porque transformar quem opera a eleição em juiz do que é verdade prejudica a aparência de imparcialidade.
• França admite tirar do ar uma notícia falsa em 48 horas no período eleitoral, mas sob requisitos específicos, excluindo opinião, exagero e piada.
• Estados Unidos — a fala política falsa recebe proteção constitucional ampla, com exceções e leis específicas.

São regras diferentes, mas bem mais parecidas entre si do que com as brasileiras.

O problema institucional de fundo

No Brasil, a Justiça Eleitoral administra a eleição, desenvolve e dirige a tecnologia, escreve boa parte das regras, comunica e faz campanha em defesa do sistema, julga na urgência o que sai do ar e decide a maior parte das disputas sobre a própria eleição. Nos outros países, em linhas gerais, essas funções aparecem bem mais distribuídas.

O problema é de aparência institucional, não uma prova de parcialidade. Quanto mais o mesmo órgão opera, regula, comunica e julga, mais ele precisa de precisão, individualização, proporcionalidade e revisão de fora — justamente porque decide disputas em que está envolvido.

O texto defende que o cidadão brasileiro deveria ter o direito de dizer que não confia no sistema eleitoral, de defender papel, criptografia ou qualquer modelo, de publicar uma vulnerabilidade, de levantar uma hipótese e de errar de boa fé. O Estado deve agir contra a falsificação, contra a mentira que impede alguém de votar, contra o abuso de poder e contra a tentativa concreta de tumultuar a posse de quem venceu. Mas o protesto contra o modelo sozinho não pode ser um cheque em branco para remover, desmonetizar, caçar ou tornar inelegível — sobretudo quando quem decide são as mesmas pessoas que escrevem as regras, operam a eleição e fazem campanha em defesa dela.

A pesquisa e a conclusão

Em fevereiro deste ano, uma pesquisa do Instituto Quest perguntou aos brasileiros se confiavam nas urnas: 53% disseram que sim, 43% que não. Entre quem votou em Lula, 75% confiavam; entre quem votou em Bolsonaro, 26%. É a mesma urna, o mesmo país, o mesmo sistema — e dois grupos de brasileiros que enxergam a máquina como se fossem duas urnas diferentes.

A resposta final do texto é ponderada: dá para confiar nos resultados da urna brasileira? Sim. As verificações independentes feitas por pessoas com interesses diferentes convergiram, e as principais acusações não dão conta de decidir uma eleição. Mas a urna é perfeita? Não. Ela tem limitações, como todo sistema eleitoral do mundo. E STF e TSE lidaram bem com todas as críticas? Também não. Algumas decisões puniram abuso, outras foram severas demais e coletivas demais, e a comunicação oficial muitas vezes errou.

A conclusão é que uma eleição merece confiança quando produz provas, e uma democracia merece confiança quando permite que essas provas sejam contestadas. O Brasil tem razões concretas para aceitar os resultados das suas urnas — e, por isso mesmo, não precisa transformar a urna num objeto de fé, nem a dúvida numa heresia.

A história das urnas eletrônicas brasileiras é a história de uma segurança que se constrói por processo, não por fé. As vulnerabilidades encontradas em 2012 e 2017 foram reais e foram corrigidas; a invasão de 2018 à rede do TSE foi séria, mas não atravessou a camada que altera votos; as auditorias do TCU e os testes de integridade convergiram sem divergência. As principais acusações de 2022 — o relatório das Forças Armadas e o número 67.305.985 — não resistiram à análise técnica. Mas o desenho da urna brasileira, sem registro físico verificável pelo eleitor, é uma peculiaridade rara entre as grandes democracias, e a condução institucional do debate — com a concentração de funções na Justiça Eleitoral e decisões coletivas e preventivas — deixou lacunas legítimas de confiança. A pergunta que fica não é se a urna pode ser atacada, mas se o Brasil consegue manter a confiança permitindo que as provas sejam contestadas — sem transformar a dúvida em heresia nem a urna em objeto de fé.

Por Ralph Lichotti - Advogado e Jornalista, Editor do Ultima Hora Online e Jornal da República, Foi Sócio Diretor do Jornal O Fluminense e acionista majoritário do Tribuna da Imprensa, Secretário Geral da Associação Nacional, Internacional de Imprensa - ANI, Ex- Secretário Municipal de Receita de Itaperuna-RJ, Doutor Honoris Causa em Direito e Ciências Políticas, Acadêmico da ABRASCI , Ex-Presidente da Comissão de Sindicância e Conselheiro da Associação Brasileira de Imprensa - ABI - MTb 31.335/RJ

#UrnasEletrônicas #Eleições #Democracia #TSE #SegurançaEleitoral #VotoImpresso #Transparência #JustiçaEleitoral #Auditoria #ConfiançaNasUrnas