Afinal, dá para confiar nas urnas brasileiras?

O debate sobre a confiabilidade das urnas eletrônicas brasileiras envolve a distinção entre a existência de vulnerabilidades de software e a capacidade real de adulterar o resultado de uma eleição nacional. Enquanto documentos oficiais do Tribunal Superior Eleitoral (TSE) atestam que falhas graves de segurança já foram descobertas em testes controlados, auditorias externas — como a realizada pelo Tribunal de Contas da União (TCU) em 2022 — confirmam que os dados totalizados coincidem rigorosamente com os registros impressos e distribuídos na ponta.

A cadeia de verificação e os limites do sistema

Uma eleição segura precisa comprovar três etapas independentes: que a máquina registrou a escolha feita pelo eleitor, que gravou esse voto com precisão interna e que a totalização final correspondeu à soma exata de todas as máquinas. O sistema brasileiro é altamente robusto na terceira etapa, mas possui fragilidades intrínsecas nas duas primeiras, pois o mesmo software exibe a tela, grava o voto e gera o relatório final.

Boletins de Urna (BU) e auditoria do TCU

Ao término da votação, a urna imprime o Boletim de Urna (BU) antes de qualquer transmissão eletrônica de dados. Cópias físicas são afixadas nas seções eleitorais e entregues a fiscais de partidos e imprensa em mais de 500 mil seções no país.
Em 2022, Ponte Alta do Norte (SC) foi o primeiro município a concluir 100% da apuração no primeiro turno, por volta das 17h30.
No primeiro turno de 2022, o TCU sorteou uma amostra de mais de 4.000 BUs, comparou campo a campo cerca de 6 milhões de informações com os dados totalizados pelo TSE e não identificou nenhuma divergência.
Limitação técnica: A conferência do TCU valida a rota do papel até o resultado consolidado, mas não audita a conversão do voto digitado na cabine em registro de software.

Teste de Integridade

Realizado na véspera da eleição, consiste no sorteio público de urnas prontas para uso real, desviadas para uma votação simulada monitorada por fiscais e imprensa.
Cédulas de papel previamente preenchidas são digitadas nas urnas sorteadas. Ao fim, o BU impresso pela máquina é comparado com o resultado conhecido em papel.
Em 2022, todas as urnas testadas apresentaram 100% de coincidência entre votos digitados e votos apurados.
Limitação técnica: O teste impede fraudes massivas e distribuídas em todas as urnas do país, mas sua amostragem limitada não realiza uma recontagem do voto real do eleitorado.

Histórico de testes técnicos e invasões reais

A urna eletrônica funciona de forma totalmente desconectada (offline) de redes como Wi-Fi, internet ou cabos durante a votação. Contudo, vulnerabilidades já foram demonstradas em ambiente de teste e em invasões à infraestrutura central:

2012 (Sigilo do voto): Uma equipe da Universidade de Brasília (UnB), liderada pelo pesquisador Diego Aranha, descobriu que o algoritmo que embaralhava a ordem dos votos usava a hora exata de inicialização da urna como semente (seed). Como o horário constava nos registros públicos da máquina, os pesquisadores conseguiram reconstituir a ordem cronológica exata dos votos em eleições simuladas. A falha foi corrigida posteriormente.
2017 (Execução de código não autorizado): Pesquisadores identificaram chaves criptográficas expostas, verificações ausentes e falhas na validação de assinaturas digitais. Com isso, conseguiram injetar e executar um software próprio dentro da urna de teste, alterando telas, registros internos e alcançando a rotina de gravação dos votos sem quebrar a criptografia diretamente. O TSE corrigiu as vulnerabilidades apontadas.
2018 (Invasão aos servidores do TSE): Hackers invadiram a rede interna do TSE, permaneceram meses no sistema, acessaram credenciais, documentos e copiaram o código-fonte de um programa de preparação de urnas. Não houve evidência de adulteração de código nem de inserção de programas modificados nas máquinas de votação.

As contestações técnicas da eleição de 2022

O relatório das Forças Armadas

O documento das Forças Armadas atestou que a comparação entre os BUs e a totalização não indicou fraude. Ao mesmo tempo, pontuou a impossibilidade teórica de descartar a existência de código malicioso devido ao volume do sistema e aos limites de tempo e metodologia de inspeção do código-fonte.

O bug do identificador inválido (Bug `67305985`)

O Partido Liberal (PL) pediu a anulação de 279 mil urnas de modelos anteriores a 2020 no segundo turno, alegando que o campo de identificador da máquina registrava o número repetido 67305985, impedindo a vinculação dos arquivos à respectiva urna física.

Fato técnico: O bug era uma falha de programação real, mas restrita exclusivamente àquele campo. Os arquivos continuavam contendo município, zona, seção e código de carga, permitindo a identificação inequívoca da origem de cada arquivo.
Incoerência política: As mesmas urnas foram usadas no primeiro turno (quando o PL conquistou a maior bancada na Câmara dos Deputados), mas o pedido pedia anulação apenas no segundo turno.
Distribuição geográfica dos votos: A tese de que urnas antigas favoreceram Luiz Inácio Lula da Silva e as novas favoreceram Jair Bolsonaro deve-se à logística de distribuição. Modelos mais novos foram alocados prioritariamente em capitais e regiões mais ricas, enquanto urnas antigas foram enviadas ao interior. A correlação de votos de Bolsonaro por município entre 2018 e 2022 superou 97%, independente do modelo de urna utilizado.

O histórico político da crítica à urna

O questionamento à segurança da urna eletrônica e a defesa do voto impresso não se originaram no bolsonarismo e perpassaram diversos partidos ao longo de décadas:

1994: Lula afirmou que em eleições de papel desviar "dois ou três milhões de votos nesse país é mais fácil que tirar pirulito de criança". Em junho de 2002, colocou a urna eletrônica sob suspeita na Folha de S.Paulo, criticando a infalibilidade do sistema e acusando a Agência Brasileira de Inteligência (Abin).
2000: Leonel Brizola (PDT) acusou a Abin de colocar programas ocultos nas urnas. No mesmo ano, Eduardo Suplicy (PT) apresentou ao então ministro Nelson Jobim o projeto de uma urna com módulo impressor conferível.
2002: Ciro Gomes (PPS) manifestou receio público de fraude; José Sarney discursou no Senado citando a matéria "Urnas eletrônicas 2002 e a fraude anunciada" e sugeriu solicitar observadores da ONU e da OEA.
2009: Flávio Dino (então deputado pelo PCdoB) foi relator da reforma eleitoral que aprovou o voto impresso. Dino criticou a interferência do TSE e publicou anos depois que a urna era vulnerável e que alguém com acesso interno poderia alterar resultados.
A mudança recente consistiu na instrumentalização do discurso: Jair Bolsonaro converteu a crítica técnica em uma acusação sem provas de que o sistema fora desenhado deliberadamente para fraudar sua reeleição.

Arquitetura, desenvolvimento e comparação internacional

Fabricação e software

O projeto da urna é estatal, concebido a partir de 1995 pelo TSE com suporte do ITA, INPE, Ministério das Comunicações e Forças Armadas.
O hardware é produzido por empresas via licitação pública: Unisys (1996), Procomp (1998 e 2000), Diebold Procomp (a partir de 1999) e Positivo Tecnologia (modelos 2020 e 2022). A Smartmatic atuou apenas em logística, treinamento e suporte, sem desenvolver a máquina ou o software.
O software básico é mantido internamente pelo TSE desde 2005 e reescrito em Linux em 2008. O Centro de Pesquisa em Segurança das Comunicações (CEPESC), ligado à Abin, desenvolve bibliotecas criptográficas, mas o controle das chaves é exclusivo do TSE.

O Brasil no cenário global

Tecnicamente, a urna brasileira é classificada como Direct Recording Electronic (DRE) sem trilha física individual independente:

Índia: Emprega urnas eletrônicas offline para centenas de milhões de eleitores, mas desde 2019 adota 100% de sistemas com Voter-Verified Paper Audit Trail (VVPAT), em que um papel é impresso e exibido atrás de um visor antes de cair em uma caixa lacrada.
Namíbia: Usava urnas eletrônicas indianas sem papel desde 2014, mas a Suprema Corte proibiu o modelo em 2019 por falta de prova física verificável, retornando à cédula de papel em 2020.
Paraguai: Utilizou urnas brasileiras emprestadas (2001 a 2006) e migrou para sistemas com suporte impresso.
Outros modelos: A Estônia usa voto pela internet; Filipinas utiliza contagem óptica de cédulas de papel preenchidas à mão; Bélgica e diversos estados norte-americanos usam máquinas com comprovante físico ou cédulas de papel.

Viabilidade técnica do voto impresso e auditorias de limitação de risco

A inclusão de uma camada física auditável funcionaria pelo modelo VVPAT: a máquina imprime o voto atrás de um visor lacrado; o eleitor apenas confere visualmente e confirma para que o papel caia na urna lacrada, sem tocar no papel nem levar comprovante.

Auditoria de Limitação de Risco (Risk-Limiting Audit)

A apuração rápida às 17h continuaria sendo realizada pelo canal eletrônico.
Amostras públicas de urnas seriam sorteadas após o pleito. A quantidade de papel contada manualmente aumentaria progressivamente caso a margem entre candidatos fosse muito estreita ou houvesse divergências estatísticas.

Desafios práticos e custos

Definições jurídicas prévias: Exige regulamentar qual registro prevalece em caso de divergência (o físico ou o eletrônico), cadeia de custódia e protocolos de recontagem.
Fator humano: No teste do voto impresso realizado no Brasil em 2002 com mais de 7 milhões de eleitores, cerca de 60% dos eleitores no Rio de Janeiro não conferiram a cédula na janela de visualização, além de registros de atolamento de papel e filas.
Custo financeiro: Em 2021, o TSE estimou o custo de implantação de impressoras em todo o parque eleitoral em aproximadamente R$ 2 bilhões.

Propostas de aprimoramento e o papel institucional do TSE

Para blindar o sistema eleitoral contra desconfianças sem recorrer à censura, foram sugeridas três medidas técnicas:

Auditoria externa contínua com ambiente de compilação reprodutível aberto ao público, permitindo atestar que o binário instalado na urna equivale exatamente ao código-fonte inspecionado.
Certificação e perícia independentes emitidas por entidades externas com laudos técnicos públicos e assinados.
Projetos-piloto de independência de software, testando modelos como VVPAT ou comprovação matemática em pequena escala com marcos regulatórios bem definidos.

Balanço institucional

No Brasil, a Justiça Eleitoral acumula a administração do sistema, a especificação e desenvolvimento técnico, a regulação normativa, a campanha comunicacional e o julgamento sumário de disputas e remoção de conteúdos. Em democracias como Canadá, Austrália, França e EUA, a separação entre operação técnica, arbitragem jurídica e regulação de discurso é mais descentralizada.

Em 2021, medidas excessivas como a desmonetização cautelar e coletiva de 14 canais no YouTube durou 18 meses e foi posteriormente arquivada sem análise individual de mérito. Em fevereiro de 2024, pesquisa do Instituto Quaest apontou que 53% dos brasileiros confiam nas urnas eletrônicas e 43% desconfiam (divididos entre 75% de confiança entre eleitores de Lula e 26% entre eleitores de Bolsonaro). A legitimidade eleitoral decorre de auditorias técnicas transparentes e verificação de provas, e não da imposição de dogmas institucionais ou da criminalização do debate sobre reformas no sistema.