5 Revelações Surpreendentes sobre a Urna Eletrônica Brasileira que Mudam o Debate

Introdução

Nos últimos anos, a intensa polarização do eleitorado brasileiro colocou no centro da cena política uma dúvida crucial: "Afinal, dá para confiar nas urnas eletrônicas do Brasil?". Uma pesquisa realizada pelo Instituto Quaest expôs o tamanho dessa fratura de percepção: 53% dos brasileiros afirmam confiar no sistema, contra 43% que declaram não confiar. Contudo, quando o dado é recortado pela escolha presidencial de 2022, o abismo institucional fica cristalino: 75% dos eleitores de Luiz Inácio Lula da Silva confiam nas urnas, enquanto apenas 26% dos eleitores de Jair Bolsonaro compartilham da mesma certeza.

O mesmo equipamento, rodando o mesmo software sob as mesmas regras do jogo, é enxergado de formas diametralmente opostas a depender do lado da trincheira em que o eleitor se encontra. A resposta para a segurança eleitoral, no entanto, não reside em um dogma cego de infalibilidade nem em acusações panfletárias sem provas. Ela exige a análise técnica, histórica e institucional do sistema. A seguir, investigamos os cinco pontos mais surpreendentes e contra-intuitivos sobre a urna eletrônica brasileira.

1. Dois relatórios oficiais contam histórias aparentemente opostas (e ambos estão certos)

Para entender a discussão sobre a segurança das urnas, é preciso encarar um paradoxo do próprio Estado brasileiro: dois documentos oficiais produzidos por órgãos públicos apontam para direções opostas, mas contam partes complementares da mesma história.

• O Achado do TCU (2022): No primeiro turno das eleições de 2022, o Tribunal de Contas da União (TCU) realizou uma auditoria inédita em uma amostra de mais de 4.000 Boletins de Urna (BUs) — o relatório impresso por cada máquina às 17h, antes de qualquer transmissão eletrônica de dados. O tribunal conferiu cerca de 6 milhões de informações, cruzando os papéis colados nas portas das seções eleitorais com o resultado final publicado no telão do Tribunal Superior Eleitoral (TSE). O resultado foi zero divergência.
• A Evolução das Vulnerabilidades nos TPS do TSE: Em contrapartida, os relatórios dos Testes Públicos de Segurança (TPS), organizados pelo próprio TSE, documentam falhas reais e expressivas ao longo dos anos:
  • 2012 (Caso Diego Aranha / UnB): Uma equipe da Universidade de Brasília descobriu que o embaralhamento da ordem dos votos usava o horário exato de inicialização do sistema como semente aleatória. Como essa hora constava nos registros públicos da máquina, os pesquisadores refizeram o sorteio criptográfico e recuperaram a sequência exata de votos digitados. Tratou-se de uma falha real de sigilo (embora não tenha alterado votos nem identificado nomes sem dados externos).
  • 2017 (Execução de código não autorizado): Pesquisadores conseguiram burlar a validação de assinaturas digitais da urna devido a chaves criptográficas expostas e falhas de checagem no código, executando programas não autorizados na máquina de teste.
  • 2018 (Invasão à rede interna do TSE): Hackers invadiram a rede de computadores do TSE, permaneceram lá dentro por meses e copiaram o código-fonte de um programa de preparação das urnas, além de credenciais internas.

O Teste de Integridade e o Estudo de Caso do Bug 67.305.985

Para além dos testes em laboratório, o TSE realiza no dia da eleição o Teste de Integridade: urnas sorteadas da votação real são levadas a um auditório sob fiscalização de partidos, imprensa e câmeras. Votos em papel previamente preenchidos são digitados nessas máquinas e, ao fim do dia, a contagem da urna é comparada com a soma das cédulas. Em 2022, os números bateram. Contudo, do ponto de vista estatístico e metodológico, o teste prova que as urnas sorteadas funcionaram corretamente, mas não reconta os votos de 100% dos eleitores reais, já que a máquina DRE não gera um segundo registro físico individual.

Essa fragilidade de auditabilidade abriu margem para contestações em 2022, quando a coligação do Partido Liberal (PL) pediu a anulação de 279 mil urnas de modelos anteriores a 2020. A alegação era de que o arquivo de log repetia o número fictício 67.305.985 no lugar do código individual de identificação da máquina.

Análises periciais independentes demonstraram que o episódio tratava-se de um bug isolado de exibição em modelos antigos que não afetava a integridade dos votos: o arquivo continha dados redundantes (como município, zona, seção e código de carga) que permitiam identificar a urna de origem de forma unívoca. Além disso, a variação de votação entre urnas antigas e novas devia-se à distribuição geográfica (máquinas novas foram enviadas proporcionalmente mais para centros urbanos mais ricos, e as antigas para o interior), mantendo uma correlação superior a 97% com o padrão de voto por município registrado em 2018.

A aparente contradição entre TCU e TPS se resolve ao responder a duas perguntas distintas:

1. Uma urna pode ser atacada ou apresentar vulnerabilidades? Sim. O TSE registrou e corrigiu falhas graves identificadas por pesquisadores e episódios de invasão de rede.
2. Alguém conseguiu usar essas vulnerabilidades para alterar o resultado de uma eleição de verdade? Não. Não há provas ou indícios de que qualquer ataque tenha atravessado as camadas físicas e lógicas de segurança a ponto de adulterar votos computados.

"A segurança não é um estado mágico em que nada nunca falha. Segurança é o processo de encontrar a falha, corrigir e conferir de novo."

2. A crítica à urna e a defesa do voto impresso não nasceram com o Bolsonarismo

Embora nos últimos anos o debate sobre a segurança das urnas tenha sido fortemente associado aos eleitores de Jair Bolsonaro, a desconfiança em relação ao sistema e a defesa de mecanismos de verificação física perpassaram todo o espectro político brasileiro nas últimas três décadas.

• 1994 / 2002 (Lula PT): Em 1994, na era do papel, Lula declarou que desviar dois ou três milhões de votos no Brasil era "mais fácil que tirar pirulito de criança". Em junho de 2002, já sob a votação eletrônica, o então candidato colocou a infalibilidade da máquina sob suspeita, acusou a Agência Brasileira de Inteligência (Abin) de interferência e afirmou que não havia como garantir se a urna podia ou não ser manipulada.
• 2000 (Leonel Brizola PDT & Eduardo Suplicy PT): Brizola acusou a existência de um programa oculto na urna eletrônica. No mesmo ano, o então senador Eduardo Suplicy levou ao TSE o projeto de uma urna com voto impresso conferível pelo eleitor, argumentando que a medida traria maior tranquilidade e transparência técnica ao processo.
• 2002 (Ciro Gomes & José Sarney): Ciro Gomes declarou publicamente temer fraudes nas urnas. No Senado, o ex-presidente José Sarney citou reportagens sobre "fraude anunciada" e ameaçou recorrer à ONU e à OEA para exigir a presença de observadores internacionais no pleito daquele ano.
• 2009 / 2012 (Flávio Dino então Deputado PCdoB): Relator da reforma eleitoral de 2009, Dino defendeu e aprovou o voto impresso no Congresso. Na ocasião, criticou o "agigantamento do Judiciário" diante das ressalvas do TSE e, em 2012, publicou em suas redes que as urnas eram "completamente inseguras e suscetíveis a fraudes".
• Outras lideranças e partidos: Projetos e questionamentos semelhantes foram apresentados e apoiados por lideranças como Roberto Requião (PMDB), José Dirceu (PT), além de parlamentares do PSB e do PSOL.

A crítica técnica e a busca por redundância na votação eram pautas transversais da democracia brasileira. No entanto, nos anos recentes, o debate de engenharia de software foi sequestrado pela polarização, sendo transformado em um teste de fidelidade ideológica de "tudo ou nada".

3. O Brasil ocupa uma posição quase única no mundo ao usar a tecnologia DRE pura

Há uma grande confusão no debate público entre "votar de forma eletrônica" e o modelo específico adotado pelo Brasil. O país utiliza a tecnologia de Registro Eletrônico Direto (DRE) sem trilha física de papel em escala nacional.

Enquanto a Índia — que possui centenas de milhões de eleitores e opera máquinas offline — adicionou o sistema VVPAT (Voter Verified Paper Audit Trail) em todas as seções eleitorais a partir de 2019, o Brasil se consolida como uma exceção global ao aplicar o DRE puro para mais de 150 milhões de eleitores sem um segundo registro físico independente da máquina.

Quem fabrica e quem desenvolve o sistema brasileiro?

Outro mito recorrente é a associação da urna brasileira a empresas estrangeiras específicas como a Smartmatic. Os fatos extraídos do processo histórico mostram uma realidade diferente:

• Projeto e Software: O projeto da urna é de propriedade exclusiva da Justiça Eleitoral brasileira. O software principal é desenvolvido desde 2005 por técnicos do próprio TSE (migrado para Linux em 2008), contando com componentes criptográficos desenvolvidos pelo CPESC/Abin.
• Fabricação do Hardware: A produção física é terceirizada via licitação pública. Ao longo de 30 anos, quatro empresas fabricaram as urnas brasileiras: Unisys (1996), Procomp (1998 e 2000), Diebold (1999 e anos seguintes) e Positivo (modelos 2020 e 2022).
• O Papel da Smartmatic: A empresa venezuelana/multinacional jamais fabricou as urnas brasileiras nem escreveu o código de registro de votos. A Smartmatic venceu contratos apenas para serviços auxiliares (logística, treinamento e suporte técnico) e disputou a licitação de hardware de 2020, sendo derrotada pela brasileira Positivo.

4. Voto impresso auditável não é "voltar a 1989" (Mas custa R$ 2 bi e tem gargalos humanos)

A proposta do voto impresso acoplado (VVPAT) é frequentemente confundida com a apuração manual do passado. Na prática da engenharia eleitoral, o sistema funciona de forma rápida e automatizada:

1. O eleitor digita seus votos no teclado da urna eletrônica.
2. A impressora acoplada exibe a cédula impressa atrás de um visor de vidro transparente.
3. O eleitor confere visualmente se o papel corresponde à sua escolha, sem tocar no papel e sem levar nenhum comprovante.
4. Após o comando de confirmação, o papel cai automaticamente em uma caixa lacrada.

A apuração às 17h continua 100% eletrônica e instantânea. O papel serve prioritariamente para a Auditoria de Limitação de Risco, na qual amostras de urnas são sorteadas para recontagem física e checagem da coerência do software.

[ Eleitor digita o voto ] ──> [ Tela exibe os dados ]
                                       │
                                       ▼
[ Papel cai em caixa lacrada ] <── [ Impressora exibe cédula atrás do visor ]

Gargalos e Desafios Operacionais

• Custo Financeiro: Em 2021, o TSE estimou em aproximadamente R$ 2 bilhões os custos para adquirir impressoras, adequar urnas, comprar caixas lacradas e organizar a logística nacional.
• O Fator Humano e a Atenção: No teste realizado pelo Brasil em 2002, envolvendo mais de 7 milhões de eleitores no Rio de Janeiro e em outros estados, relatórios oficiais apontaram que cerca de 60% dos eleitores sequer olharam para o papel impresso no visor antes de confirmar.
• Problemas de Engenharia Física: A introdução de partes móveis e papel aumenta substancialmente a taxa de falhas mecânicas (impressoras travando, papel enganchando ou acabando), exigindo substituição de módulos e gerando filas.
• O Dilema da Prevalência Jurídica: A legislação precisa definir obrigatoriamente antes do pleito: caso o registro eletrônico indique um resultado "A" e a contagem física do papel indique um resultado "B", qual dos dois registros prevalecerá perante a Justiça Eleitoral?

5. O paradoxo institucional: O TSE é operador, juiz e marqueteiro do próprio sistema

A arquitetura institucional da Justiça Eleitoral brasileira apresenta uma concentração de poderes inédita quando comparada a outras democracias consolidadas.

• Acúmulo de Funções: Em países como Canadá, Austrália e França, as funções de desenvolvimento tecnológico, organização logística, regulação de campanha e julgamento de litígios pertencem a órgãos distintos. No Brasil, o TSE desenvolve o software, estabelece as normas da eleição, produz campanhas publicitárias em defesa do equipamento e julga com exclusividade todas as contestações sobre o sistema.
• Erros de Comunicação Institucional: Em suas páginas oficiais de checagem, o TSE chegou a classificar a alegação de que a urna é vulnerável a "ataques internos" como boato ou fake news. No entanto, o acesso por atacantes internos é um vetor real de risco em segurança da informação — e foi justamente o cenário explorado em achados dos Testes Públicos de Segurança do próprio tribunal.
• Excessos Regulatórios: Em 2021, o TSE determinou a desmonetização cautelar e coletiva de 14 canais digitais por 18 meses no âmbito de inquéritos sobre desinformação. A sanção financeira pesada foi aplicável preventivamente e, ao fim de 18 meses, o inquérito acabou arquivado individualmente sem julgamento de mérito canal por canal.

"A defesa cega e intolerante da urna engoliu qualquer possibilidade de reformar a urna. O cidadão brasileiro não deveria precisar pedir licença ao TSE para desconfiar do TSE."

Conclusão: Três Reformas Técnicas para Superar o Tabu Eleitoral

Com base nos dados de auditoria, na checagem de mais de 4.000 boletins pelo TCU, no comportamento dos testes de integridade e na análise comparativa de resultados, dá para confiar no resultado apurado pelas urnas eletrônicas brasileiras. As acusações de fraudes massivas em eleições recentes não apresentaram provas periciais capazes de sustentar a alteração dos vencedores diplomados.

Contudo, reconhecer a integridade dos resultados passados não exige tratar o sistema como um dogma intocável. Para evoluir a segurança da Justiça Eleitoral e mitigar a polarização em torno da tecnologia, especialistas apontam três reformas técnicas concretas:

1. Auditoria Externa Permanente com Compilação Reprodutível: Adoção de protocolos de compilação nos quais qualquer instituição auditora independente possa compilar o código-fonte disponibilizado e gerar exatamente o mesmo binário executado dentro das urnas, garantindo transparência contínua fora das janelas fechadas do TSE.
2. Certificação e Perícia Independentes: Institucionalização de laudos técnicos produzidos por peritos externos independentes do TSE, com acesso irrestrito às provas em caso de litígios eleitorais, conferindo paridade de armas aos contestantes.
3. Pilotos de Independência de Software: Testagem gradual de mecanismos que garantam a independência entre o software e o registro do voto — seja por meio do voto impresso auditável (VVPAT) bem dimensionado ou por criptografia avançada com provas de conhecimento zero (zero-knowledge proofs) —, acompanhada de regramento legal prévio sobre a resolução de divergências.

Se a segurança de uma democracia reside na capacidade técnica de provar e contestar resultados, até quando trataremos a dúvida legítima como heresia e o sistema eleitoral como um objeto de fé?