Da cédula de papel à arquitetura criptografada: Por que a urna eletrônica brasileira é um marco de segurança e soberania democrática
Iasmin Santos
Discutir o processo eleitoral no Brasil exige olhar para o retrovisor histórico com profundidade. Com a proximidade do primeiro turno das Eleições 2026 e os debates intensos sobre integridade informacional, inteligência artificial e desinformação, vale falarmos sobre o nosso modelo de votação eletrônica, como ele foi criado e como ele blinda a nossa democracia.
Para responder a essa pergunta com o rigor necessário, participei recentemente de uma imersão no Curso de Direito Eleitoral para Jornalistas, promovido pelo Tribunal Superior Eleitoral (TSE) em parceria com a EJE (Escola Judiciária Eleitoral). Nas aulas e exposições conduzidas por especialistas como Julio Valente da Costa Junior (Secretário de Tecnologia da Informação do TSE), ficou evidente que a escolha do nosso modelo tecnológico não é um acaso ou uma excentricidade, mas uma resposta direta à nossa história política, à nossa cultura e à gigantesca dimensão do Brasil.
1. As frágeis eleições manuais e o voto a “bico de pena”
Para compreender o real valor e a necessidade da urna eletrônica, é preciso resgatar como funcionavam as eleições brasileiras desde o Império e, de forma marcante, durante a Primeira República (até 1930). Naquele período, as fraudes não eram desvios acidentais ou pontuais; elas compunham a própria estrutura do sistema político, conhecidas popularmente como as “eleições a bico de pena”, na qual o resultado das votações era controlado e adulterado pelas canetas dos mesários e das comissões de verificação.
As vulnerabilidades e os esquemas fraudulentos distribuíam-se de forma sistêmica em três fases críticas do processo manual:
Fase 1 (votação): o terreno fértil para o “voto de cabresto”, a coerção aberta de coronéis e donos de terras, e fraudes físicas engenhosas como o voto formiguinha e o eleitor fósforo:
- O “voto formiguinha”em que o eleitor recebia a cédula do mesário, entrava na cabina de votação e, em vez de preenchê-la e depositá-la, guardava a cédula em branco e colocava um papel qualquer na urna de lona. O organizador da fraude, que estava fora da seção, recebia a cédula oficial, assinalava os candidatos desejados e a entregava para outro eleitor. Esse eleitor depositava a cédula já preenchida, pegava outra em branco e a entregava para o organizador, que repetia o processo fraudulento à exaustão.
- “Eleitor fósforo” era aquele que mudava seu visual e votava em várias seções eleitorais, ou seja, aquele que “riscava” várias urnas.
Havia também aquele eleitor que apresentava documento falso para se identificar na seção eleitoral e votar. Dessa forma, era possível que um mesmo eleitor votasse mais de uma vez em mais de uma seção eleitoral. Era possível, até mesmo, votar por pessoas já falecidas. E outra prática realizada era o “voto estoque” em que as cédulas do estoque de segurança das seções eleitorais eram preenchidas e inseridas nas urnas.
Fase 2 (apuração): Conduzida de forma braçal por presidentes de mesa e mesários, a contagem abria margem para erros humanos intencionais, falsificação de atas e o temido “mapismo”, a adulteração sistemática de mapas de apuração e desvio de votos entre candidatos de uma mesma legenda na base da caneta.
- Fraude cantada – Os votos eram consolidados em mapas eleitorais após serem apurados (contados). A fraude ocorria de duas maneiras: a pessoa que informava os números da apuração para serem registrados no mapa eleitoral, chamado de escrutinador, “cantava os votos”, ou seja, falava em voz alta os números errados para serem registrados no mapa; a outra maneira era a pessoa responsável por escrever os votos no mapa registrar valores diferentes dos votos cantados.
- Numéro falso – As cédulas que continham apenas o nome do candidato eram preenchidas com o número de outro candidato. Com isso, os votos eram anulados, pois não se tornava possível identificar, com segurança, para qual candidato o voto havia sido consignado.
- Votos brancos preenchidos – No momento da votação, os votos eram marcados com caneta azul. Na apuração, utilizava-se caneta vermelha para identificar as cédulas apuradas. Nesse momento, ao se deparar com votos em branco, o apurador os preenchia com caneta azul
Fase 3 (Custódia e Transporte): Envolvia o deslocamento físico de urnas de lona e pacotes de cédulas por estradas precárias ao longo de um país de dimensões continentais, deixando os votos vulneráveis a roubos, extravios, urnas “grávidas” (que já chegavam preenchidas às seções) e substituições clandestinas no percurso até as Juntas Apuradoras.
Esse cenário caótico só começou a ser combatido de maneira institucional e estruturada a partir de 1932, com a criação da Justiça Eleitoral. Contudo, a superação definitiva das fraudes físicas só veio com a revolução tecnológica de 1996, as urnas eletrônicas.
2. Cultura, logística e a decisão pela autonomia tecnológica
As eleições de qualquer país refletem a sua cultura, a sua demografia e os seus desafios logísticos. Enquanto nações com realidades populacionais e territoriais restritas adotam métodos como o voto postal ou cédulas físicas específicas, tais alternativas nunca encontraram viabilidade ou segurança diante da escala continental do Brasil, que hoje integra mais de 158,7milhões de eleitoras e eleitores estarão aptos a votar espalhados por 5.571, além de 186 cidades no exterior.
A votação neste ano, por exemplo, segundo o TSE ocorrerá em 517.206 seções eleitorais, organizadas em 2.641 zonas eleitorais.
Diante desse desafio, a Justiça Eleitoral brasileira não importou soluções prontas de prateleira, mas desenvolveu a sua própria tecnologia de Informação e Comunicação (TIC). Os princípios que nortearam o projeto da urna eletrônica foram: padronização, conformidade estrita com a legislação brasileira, durabilidade, redução de custos, acessibilidade universal (com integração de áudio, linguagem de sinais e Braille), logística simplificada e, acima de tudo, autonomia tecnológica e segurança.
- A mesma tecnologia usada na capital de São Paulo é levada de barco ou helicóptero para comunidades ribeirinhas na Amazônia e aldeias indígenas. Não há variação de regras ou de aparelhos entre estados.
- As urnas eletrônicas brasileiras não possuem nenhuma placa de rede, Wi-Fi ou conexão de internet. Elas operam de forma totalmente isolada. A transmissão dos resultados só acontece após o encerramento da votação, quando os dados criptografados de cada urna são gravados em uma mídia física e enviados por uma rede interna e segura do Tribunal Superior Eleitoral (TSE).
- Devido ao sistema unificado e à gravação digital direta, o Brasil consegue totalizar os votos de mais de 150 milhões de eleitores e declarar o resultado oficial (incluindo o presidente da República) poucas horas após o encerramento do pleito. Em democracias de tamanho semelhante, como os EUA ou a Índia, a contagem de votos pode levar dias ou até semanas.
- O design da urna eletrônica brasileira inspirado em um telefone público antigo foi projetado na década de 1990 para ser inclusivo para analfabetos e pessoas com baixa instrução. O eleitor digita números em vez de escrever nomes; A urna exibe a foto, o nome e o partido do candidato antes de confirmar e teclas em Braille e instruções em áudio auxiliam deficientes visuais.
Após três décadas de evolução com as urnas eletrônicas foi observado a eliminação total de fraudes nas etapas de votação, apuração e totalização, garantindo divulgação célere dos resultados e substituindo o antigo armazenamento de toneladas de papéis pelo controle logístico de hardwares modernos.
3. A arquitetura de hardware, fábrica e os princípios de Segurança
Gerenciar um parque tecnológico com mais de 563 mil urnas exige uma engenharia de ponta que eliminou o manuseio humano direto nas etapas mais sensíveis. Sob a premissa de que não há sistema 100% seguro na ciência da computação, mas que o sistema eletrônico brasileiro possui uma segurança tão forte que torna inviável a fraude, a arquitetura fundamenta-se em bases sólidas:
- Controle de Fábrica e do Fabricante: edital de mais de 500 páginas define centenas de requisitos de segurança aplicados rigorosamente na fabricação. Nem o fabricante ou operadores internos do TSE conseguem burlar as regras ou inserir códigos não autorizados.
- Blindagem Contra Invasões: a urna não precisa ser vigiada para ser segura. Mesmo com acesso interno à placa, não é possível inserir sistemas não autênticos ou adulterar informações para a totalização; diante de qualquer anomalia, a urna interrompe seu funcionamento.
- O código-fonte não é secreto e tem abertura prévia: disponibilizado com um ano de antecedência para inspeção das entidades fiscalizadoras, podendo ser analisado com ferramentas automatizadas e suporte do TSE.
- Assinatura digital, lacração e segregação de funções: binários compilados passam por congelamento oficial e são assinados digitalmente pelo TSE e entidades fiscalizadoras. Quem desenvolve o software não consegue torná-lo oficial, alterar o hardware ou gerar BUs falsos.
- Software offline e cadeia de hardware (Trusted-DRE): totalmente desconectada da internet no dia do pleito, a urna submete o hardware a um desafio criptográfico em tempo de execução via UEMUX: se o Módulo de Segurança Embarcado (MSE) não responder corretamente, a urna desliga automaticamente. Os testes públicos de segurança (TPS) realizados recorrentemente provam cientificamente que votos de candidatos não podem ser alterados.
4. As oportunidades de auditoria e as entidades fiscalizadoras legitimadas
A lisura do processo é garantida por dezenas de oportunidades de auditoria (incluindo marcos robustos e as 40 oportunidades detalhadas na Resolução TSE nº 23.673/2021), distribuídas ao longo do cronograma das Eleições 2026:
- Fase de Concepção e Lacração (Outubro a Maio): abertura do código-fonte, Teste Público de Segurança (TPS), confirmação do TPS e Cerimônia de Assinatura Digital e Lacração dos Sistemas.
- Fase Pré-Eleitoral (Agosto e Setembro): cerimônias públicas de Geração de Mídias e Preparação de Urnas.
- Fase do Pleito (Véspera e Dia da Eleição): verificação das Tabelas de Correspondência, emissão da Zerésima, Testes de Integridade e geração dos Boletins de Urna (BU).
- Fase Pós-Eleição: publicação irrestrita dos Boletins de Urna na internet, logs e Registros Digitais de Voto (RDVs).
A fiscalização ativa e institucional é exercida por uma ampla rede de Entidades Fiscalizadoras Legitimadas:
- Partidos políticos, coligações e federações;
- Ordem dos Advogados do Brasil (OAB) e Ministério Público;
- Congresso Nacional, Defensoria Pública, STF e tribunais superiores;
- Órgãos de controle como TCU, CGU, CNJ, CNMP e Polícia Federal;
- Entidades científicas e técnicas como SBC, CONFEA, CNI e entidades do Sistema S;
- Universidades credenciadas e entidades privadas sem fins lucrativos com atuação em transparência pública.
5. Aplicativo Boletim na Mão e a Transparência Final
O elo final que torna a transmissão e a totalização invioláveis é a fiscalização cidadã. Logo após o encerramento da votação, às 17h, a urna emite fisicamente o Boletim de Urna (BU), afixado publicamente na porta de cada seção.
Por meio do aplicativo oficial Boletim na Mão, qualquer cidadão pode utilizar a câmera do celular para escanear o QR Code impresso no BU, armazenar os dados e conferir instantaneamente se a apuração da sua seção confere com os resultados divulgados na internet pelo sistema oficial do TSE. Graças a essa arquitetura aberta, desde 1996 o sistema eletrônico brasileiro acumula um histórico exemplar de segurança sem nenhum caso documentado de fraude.
Compreender que o sistema eletrônico brasileiro nasceu como um escudo civilizatório contra as fraudes crônicas do passado e que ele se sustenta em um código transparente, hardware blindado por desafios criptográficos, dezenas de oportunidades de auditoria e a verificação direta nas mãos de cada cidadão é um dever urgente de educação midiática e jurídica.
Em tempos de desinformação galopante, defender a verdade técnica do nosso processo eleitoral é proteger a própria soberania da nossa democracia.
…………..
Se você gostou deste artigo inscreva-se no canal do WhatsApp https://whatsapp.com/channel/0029VbDXXZ4LI8YcEhonar3m
O projeto ‘Encantar a Política’ tem a proposta de compreender a política como serviço ao bem comum, ensino social, à dignidade humana e à defesa da Casa Comum. É uma iniciativa inspirada na Doutrina Social da Igreja e nas encíclicas Fratelli Tutti entre outras. Siga nosso instagram https://www.instagram.com/encantarapolitica/