Segurança na urna eletrônica brasileira: como os votos são contados, quais são os riscos e como funciona a auditoria
A urna eletrônica precisa cumprir duas exigências essenciais: registrar e contabilizar corretamente cada voto e, ao mesmo tempo, proteger o sigilo do eleitor. Para isso, o processo eleitoral combina equipamentos e programas específicos, assinaturas digitais, lacração, fiscalização, testes e arquivos que permitem conferir os resultados.
Avaliar a segurança desse sistema exige distinguir situações diferentes. Uma falha identificada em um teste controlado não comprova que houve fraude em uma eleição. Da mesma forma, uma auditoria que não encontrou irregularidades dentro de seu escopo não significa que todos os riscos imagináveis tenham sido eliminados. O ponto central é entender quais ameaças são consideradas, que barreiras existem para contê-las e quais evidências podem ser examinadas de forma independente.
O que a urna faz durante a eleição
A urna eletrônica é um equipamento dedicado à votação. Ela utiliza sistemas preparados para o processo eleitoral e, durante a votação, não opera conectada à internet. Sua função é registrar os votos, preservar o anonimato, apurar os resultados da seção e gerar arquivos que possam ser verificados e transmitidos.
Antes do início da votação, a urna emite a zerésima: um documento que demonstra que, naquele momento, não há votos contabilizados para candidatos ou legendas. Ao confirmar sua escolha, o eleitor tem o voto registrado digitalmente. O Registro Digital do Voto, conhecido como RDV, armazena os votos por cargo e emprega recursos para que a ordem dos registros não permita associar uma escolha a uma pessoa específica.
Encerrada a votação, a urna apura os votos daquela seção e produz o Boletim de Urna (BU), o RDV e outros arquivos assinados digitalmente. O boletim informa, entre outros dados, a identificação da seção e do equipamento, os horários de abertura e encerramento, a quantidade de eleitores e o total de votos por candidato e legenda, além dos votos brancos, nulos e do resultado geral.
A totalização nacional reúne os resultados enviados pelas seções; não consiste em recontar individualmente os votos no centro de processamento. Por isso, o BU é uma peça importante para conferir o resultado local com os números divulgados posteriormente. A Resolução TSE nº 23.751/2026 prevê a geração dos arquivos de apuração ao final da votação.
Código, assinaturas e lacração
A proteção da urna não depende de uma única barreira. Antes da eleição, o software passa por etapas de preparação, compilação, assinatura digital e instalação nos equipamentos. A lacração ajuda a demonstrar que, após os procedimentos oficiais, não houve alteração física ou substituição não autorizada dos componentes ou programas.
Esse conjunto forma uma cadeia de confiança: é preciso controlar o código utilizado, verificar que o programa instalado corresponde à versão aprovada e preservar registros que permitam identificar mudanças indevidas. Assinaturas digitais ajudam a conferir a autenticidade e a integridade dos arquivos, mas sua eficácia também depende da proteção das chaves, dos procedimentos e das pessoas envolvidas.
A fiscalização pode envolver diferentes participantes autorizados, em etapas anteriores e posteriores à votação. A possibilidade de examinar sistemas e documentos amplia a transparência, mas nenhuma medida isolada resolve todos os problemas. A segurança depende da combinação entre controles técnicos, procedimentos operacionais e capacidade de auditoria.
Testes públicos e limites do que eles demonstram
Os testes públicos de segurança permitem que especialistas examinem os sistemas eleitorais em condições controladas e tentem encontrar vulnerabilidades. Quando uma falha é identificada, ela pode ser analisada, corrigida e submetida a novos testes. Esse processo é parte normal da segurança cibernética: sistemas complexos devem ser avaliados por pessoas capazes de procurar pontos fracos.
Um resultado encontrado em laboratório precisa ser interpretado com cuidado. É necessário saber qual era o acesso disponível ao participante, que equipamento foi usado, se a falha poderia ser explorada fora do ambiente de teste e quais controles adicionais dificultariam sua utilização. Encontrar uma vulnerabilidade não equivale, por si só, a demonstrar que votos foram alterados em uma eleição real.
Também é importante observar o que um teste não consegue provar. Uma avaliação limitada a determinado componente ou cenário não certifica automaticamente todo o processo. Por isso, a confiança depende da divulgação dos achados, da correção dos problemas e da possibilidade de verificar se as medidas adotadas funcionaram.
O Teste de Integridade
O Teste de Integridade verifica, em uma urna selecionada para a avaliação, se os votos registrados no equipamento correspondem às escolhas previamente preparadas para o procedimento. A comparação é feita sob observação, com registros que permitem acompanhar a apuração do teste.
Esse tipo de verificação oferece evidências sobre o funcionamento do equipamento examinado e sobre os procedimentos observados. Como qualquer amostragem, porém, não representa uma inspeção individual de todas as urnas do país. Seu valor aumenta quando é combinado com outras formas de fiscalização e com a conferência dos boletins emitidos pelas seções.
Quais riscos precisam ser considerados
Os riscos não se limitam a um ataque direto ao software. Podem existir ameaças à cadeia de fornecimento, aos computadores usados para preparar os sistemas, às credenciais de acesso, à transmissão de arquivos ou aos procedimentos de armazenamento e transporte. Há ainda riscos operacionais, como falhas de energia, defeitos de equipamento, treinamento insuficiente ou erros humanos.
A ameaça também pode ocorrer antes da emissão do Boletim de Urna. Se um sistema fosse comprometido nessa etapa, uma alteração poderia afetar o registro ou a apuração local. Por isso, é relevante que existam controles em diferentes fases e que os resultados possam ser comparados com evidências produzidas na seção, como os boletins impressos ao término da votação.
Incidentes técnicos não devem ser confundidos automaticamente com fraude. Uma urna que apresenta defeito, por exemplo, exige procedimentos de contingência e registro adequado, mas o defeito isolado não prova alteração intencional de votos. Para avaliar uma denúncia, é preciso examinar evidências verificáveis, identificar o equipamento e o momento envolvidos e determinar se houve impacto no resultado.
Voto impresso: argumentos e desafios
A proposta de imprimir uma representação do voto busca criar uma evidência física que possa ser conferida pelo eleitor e usada em uma recontagem. Seus defensores argumentam que uma trilha independente do registro digital poderia facilitar a auditoria e reduzir a dependência de controles baseados no mesmo software que realiza a apuração.
A adoção desse modelo, contudo, também traz questões práticas. O eleitor precisa conseguir verificar a escolha sem levar consigo um comprovante que revele seu voto. O papel deve permanecer protegido contra acesso indevido e ser contado com procedimentos confiáveis. Além disso, falhas de impressão, congestionamento e divergências entre o registro eletrônico e o documento físico exigiriam regras claras de apuração.
O Brasil já testou modelos de votação com impressão, mas a impressão do voto não é uma solução automática para todos os riscos. Ela pode criar uma evidência adicional, desde que o processo preserve o sigilo, impeça coerção e ofereça uma recontagem verificável. Qualquer mudança precisa considerar tanto os ganhos de auditabilidade quanto os novos riscos e custos operacionais.
Como fortalecer a confiança no resultado
A confiança eleitoral não depende de declarar um sistema infalível. Depende de demonstrar como ele funciona, permitir que controles sejam examinados e responder com transparência a falhas e denúncias. Para reduzir riscos, são importantes testes independentes, correção documentada de vulnerabilidades, proteção da cadeia de produção, fiscalização plural e preservação dos registros de cada etapa.
Também é essencial que os procedimentos de contingência sejam conhecidos antes da votação. Regras para substituição de equipamentos, interrupções, transporte de materiais e tratamento de divergências ajudam a evitar decisões improvisadas. A capacitação das equipes e a documentação de incidentes são parte da segurança, não apenas tarefas administrativas.
Por fim, a auditoria deve combinar diferentes tipos de evidência. A conferência dos boletins das seções, a análise dos arquivos digitais, os testes de integridade e a fiscalização dos sistemas têm alcances distintos. Quanto mais independentes forem esses mecanismos entre si, menor será a possibilidade de uma única falha comprometer todas as formas de verificação.
Nenhum mecanismo elimina completamente a possibilidade de erro ou ataque. O objetivo é reduzir a probabilidade de ocorrência, dificultar a exploração de falhas e tornar alterações detectáveis. Entender essa diferença ajuda a discutir a urna com precisão: nem vulnerabilidades potenciais devem ser tratadas como prova de fraude, nem a existência de controles dispensa a necessidade de auditorias contínuas e transparentes.