La pregunta necesita un modelo de amenazas

Cuando analizo la seguridad de un sistema, empiezo por las amenazas que debe afrontar y por la evidencia que permite evaluar sus defensas. Con la urna electrónica brasileña, el razonamiento es el mismo. Una respuesta responsable debe explicar qué se protege, frente a quién y en qué condiciones.

Es necesario preservar la integridad de los votos y los resultados, el secreto de la elección de cada persona y la continuidad de la votación. También importa poder verificar el funcionamiento del proceso. Son objetivos distintos: un sistema puede seguir disponible y, aun así, presentar una debilidad de confidencialidad. Evaluar únicamente si el equipo se enciende o produce un resultado deja fuera parte del problema.

El alcance del análisis también debe quedar claro. El equipo utilizado para votar, los sistemas de preparación, la transmisión de archivos y el cómputo de resultados cumplen funciones diferentes. Un problema en una de esas etapas debe investigarse por su posible impacto, sin presuponer automáticamente que todas las demás quedaron comprometidas.

Las protecciones deben entenderse por lo que verifican

Según el TSE, la urna funciona aislada de las redes y no tiene conexión a internet, Wi-Fi ni Bluetooth. Esta característica reduce la superficie de ataque remoto directo al equipo. (TSE — arquitectura y mecanismos de protección)

Es una protección relevante. Sin embargo, el análisis de seguridad también debe considerar el acceso físico, la preparación de los equipos, los componentes de software, las credenciales y las personas autorizadas a operar el proceso. La ausencia de una conexión de red no resuelve, por sí sola, todas estas cuestiones.

El TSE también describe la compilación, la generación de resúmenes digitales de los programas y la firma de los sistemas en la ceremonia de sellado, con participación de entidades fiscalizadoras. Estos registros permiten verificar posteriormente la integridad y la autenticidad. (TSE — firma digital y sellado)

Una firma válida ayuda a verificar el origen y la integridad de un archivo. Esta propiedad debe distinguirse de la corrección de su lógica: un programa autorizado también puede contener un error. Por eso, la revisión del código, las pruebas, el control operativo y la fiscalización deben trabajar en conjunto.

Ya se han demostrado vulnerabilidades en pruebas

Aranha y sus colaboradores documentaron ejecución de código arbitrario y vulneración de propiedades de seguridad en el entorno del TPS de 2017. La investigación se publicó en 2019. Es una demostración histórica controlada, no una prueba de explotación en una elección real. (Aranha y colaboradores — investigación sobre el TPS 2017)

El TSE registró correcciones y nuevas pruebas en mayo de 2018. Según el relato institucional, el grupo de Aranha no logró avanzar al repetir los ataques anteriores; el texto también registra diferencias entre la solución propuesta por los investigadores y la adoptada para proteger las claves. (TSE — confirmación y correcciones del TPS 2017)

En el informe final del TPS 2025, firmado en junio de 2026, la comisión distingue un fallo identificado en sistemas de apoyo, que no llegó a explotarse, de las correcciones verificadas. También recomienda mejorar los entornos de prueba. (TSE — informe final de la Comisión Evaluadora)

Estos episodios deben leerse con su fecha, versión y alcance. Un hallazgo antiguo no demuestra que la versión actual conserve el mismo fallo. Una corrección validada tampoco demuestra que se hayan eliminado todos los ataques posibles. El trabajo técnico consiste en identificar el problema, evaluar su impacto, corregirlo y producir nueva evidencia.

Toda auditoría tiene un alcance

El Boletim de Urna contiene los totales de la sección electoral y permite comparar el resultado producido por el equipo con el publicado por el TSE. Esta comprobación ayuda a verificar el cómputo; el boletín no es un comprobante individual de cada voto. (TSE — Boletim de Urna)

Por su parte, el Teste de Integridade compara votos de prueba registrados previamente en papel con los resultados de urnas seleccionadas. Es una evaluación del funcionamiento mediante muestreo y en condiciones definidas. (TSE — Teste de Integridade)

Rivest y Wack propusieron el concepto de independencia del software: un error o una modificación no detectados en el programa no deberían poder causar un cambio también indetectable en el resultado electoral. Es un criterio de diseño y verificabilidad, no una prueba de fraude. (Rivest y Wack — independencia del software, 2006)

Mi interpretación es que cada mecanismo debe evaluarse según la pregunta que puede responder. Comprobar archivos, comparar totales y observar el comportamiento de una muestra producen evidencias diferentes. Una evaluación rigurosa debe explicar cómo se complementan y qué hipótesis siguen necesitando otras verificaciones.

Vulnerabilidad, explotación y fraude son conclusiones diferentes

Una hipótesis de ataque describe algo que podría suceder bajo determinadas condiciones. Una vulnerabilidad demostrada muestra una debilidad concreta. Una explotación reproducida muestra que esa debilidad permitió un comportamiento indebido en el escenario evaluado. Cada paso aporta evidencia, pero todavía es necesario establecer si el mismo escenario ocurrió fuera de la prueba.

Para concluir que hubo fraude en una elección, es necesario presentar evidencias específicas de manipulación en el proceso real, con origen verificable, contexto y análisis del impacto. La existencia de un fallo, por sí sola, no establece quién lo utilizó, cuándo ocurrió ni qué votos resultaron afectados. Un vídeo sin contexto o una sospecha tampoco llenan esos vacíos.

El rigor se aplica en ambas direcciones. Encontrar una vulnerabilidad merece investigación y corrección. No encontrar un fallo en una prueba concreta refuerza la evaluación dentro de ese alcance, pero no convierte al sistema en infalible. El lenguaje utilizado para comunicar el resultado debe respetar ese límite.

La confianza exige evidencia y espacio para cuestionar

Cuestionar la seguridad de un sistema forma parte del trabajo de ciberseguridad. Ese cuestionamiento resulta útil cuando identifica una amenaza, presenta un método y permite que otras personas examinen los resultados. La documentación accesible, la fiscalización y la investigación independiente ayudan a construir esa confianza.

Es la postura que considero necesaria al hablar de las urnas brasileñas: reconocer las protecciones existentes, examinar las vulnerabilidades documentadas y exigir claridad sobre los límites de las verificaciones. La seguridad debe sustentarse en evidencias que puedan discutirse y mejorarse.

Una vulnerabilidad puede ser grave sin constituir una prueba de fraude. Una protección puede ser importante sin ofrecer una garantía absoluta. Comprender esa diferencia mejora el debate técnico y la calidad de las decisiones.