A pergunta precisa de um modelo de ameaça

Quando analiso a segurança de um sistema, começo pelas ameaças que ele precisa enfrentar e pelas evidências que permitem avaliar suas defesas. Com a urna eletrônica brasileira, o raciocínio é o mesmo. Uma resposta responsável precisa explicar o que está sendo protegido, contra quem e em quais condições.

É necessário preservar a integridade dos votos e dos resultados, o sigilo da escolha de cada pessoa e a continuidade da votação. Também importa conseguir verificar o funcionamento do processo. São objetivos diferentes: um sistema pode continuar disponível e, ainda assim, apresentar uma fragilidade de confidencialidade. Avaliar apenas se o equipamento liga ou produz um resultado deixa parte do problema de fora.

O alcance da análise também precisa estar claro. O equipamento usado para votar, os sistemas de preparação, a transmissão de arquivos e a totalização cumprem funções diferentes. Um problema em uma dessas etapas precisa ser investigado pelo impacto que pode ter, sem presumir automaticamente que todas as demais foram comprometidas.

As proteções precisam ser entendidas pelo que verificam

Segundo o TSE, a urna opera isolada de redes e não possui conexão com internet, Wi-Fi ou Bluetooth. Essa característica reduz a superfície de ataque remoto direto ao equipamento. (TSE — arquitetura e mecanismos de proteção)

Isso é uma proteção relevante. A análise de segurança, porém, também precisa considerar acesso físico, preparação dos equipamentos, componentes de software, credenciais e pessoas autorizadas a operar o processo. A ausência de uma conexão de rede não resolve, por si só, todas essas questões.

O TSE também descreve a compilação, a geração de resumos digitais dos programas e a assinatura dos sistemas na cerimônia de lacração, com participação de entidades fiscalizadoras. Esses registros permitem posteriores verificações de integridade e autenticidade. (TSE — assinatura digital e lacração)

Uma assinatura válida ajuda a verificar a origem e a integridade de um arquivo. Essa propriedade precisa ser distinguida da correção de sua lógica: um programa autorizado também pode conter um erro. Por isso, revisão de código, testes, controle operacional e fiscalização precisam trabalhar em conjunto.

Já houve vulnerabilidades demonstradas em testes

Aranha e colaboradores documentaram execução de código arbitrário e comprometimento de propriedades de segurança no ambiente do TPS de 2017. A pesquisa foi publicada em 2019. Trata-se de uma demonstração histórica controlada, não de prova de exploração em uma eleição real. (Aranha e colaboradores — pesquisa sobre o TPS 2017)

O TSE registrou correções e retestes em maio de 2018. Segundo o relato institucional, o grupo de Aranha não avançou ao repetir os ataques anteriores; o texto também registra diferenças entre a solução proposta pelos pesquisadores e a adotada para proteger as chaves. (TSE — confirmação e correções do TPS 2017)

No relatório final do TPS 2025, assinado em junho de 2026, a comissão distingue uma falha identificada em sistemas de apoio, não efetivamente explorada, das correções verificadas. Recomenda ainda aperfeiçoar os ambientes de teste. (TSE — relatório final da Comissão Avaliadora)

Esses episódios precisam ser lidos com data, versão e escopo. Um achado antigo não demonstra que a versão atual conserva a mesma falha. Uma correção validada também não demonstra que todos os ataques possíveis foram eliminados. O trabalho técnico consiste em identificar o problema, avaliar seu impacto, corrigir e produzir novas evidências.

Toda auditoria tem um alcance

O Boletim de Urna traz os totais da seção e permite comparar o resultado produzido no equipamento com o publicado pelo TSE. Essa conferência ajuda a verificar a totalização; o boletim não é um comprovante individual de cada escolha. (TSE — Boletim de Urna)

O Teste de Integridade, por sua vez, compara votos de teste previamente registrados em papel com os resultados de urnas selecionadas. É uma avaliação de funcionamento com amostragem e condições definidas. (TSE — Teste de Integridade)

Rivest e Wack propuseram o conceito de independência do software: um erro ou uma alteração não detectados no programa não deveriam conseguir causar uma mudança também indetectável no resultado eleitoral. É um critério de projeto e verificabilidade, não uma prova de fraude. (Rivest e Wack — independência do software, 2006)

Minha leitura é que cada mecanismo precisa ser avaliado pela pergunta que consegue responder. Conferir arquivos, comparar totais e observar o comportamento de uma amostra produzem evidências diferentes. Uma avaliação séria precisa explicar como elas se complementam e quais hipóteses continuam dependendo de outras verificações.

Vulnerabilidade, exploração e fraude são conclusões diferentes

Uma hipótese de ataque descreve algo que poderia acontecer sob determinadas condições. Uma vulnerabilidade demonstrada mostra uma fragilidade concreta. Uma exploração reproduzida mostra que essa fragilidade permitiu um comportamento indevido no cenário avaliado. Cada passo acrescenta evidência, mas ainda é preciso estabelecer se o mesmo cenário ocorreu fora do teste.

Para concluir que houve fraude em uma eleição, é necessário apresentar evidências específicas de manipulação no processo real, com origem verificável, contexto e análise do impacto. A existência de uma falha, isoladamente, não estabelece quem a utilizou, quando isso ocorreu ou quais votos foram afetados. Um vídeo sem contexto ou uma suspeita também não preenche essas lacunas.

O rigor vale nas duas direções. Encontrar uma vulnerabilidade merece investigação e correção. Não encontrar uma falha em determinado teste fortalece a avaliação dentro daquele escopo, mas não transforma o sistema em infalível. A linguagem usada para comunicar o resultado precisa respeitar esse limite.

Confiança exige evidência e espaço para questionar

Questionar a segurança de um sistema é parte do trabalho de cibersegurança. O questionamento se torna útil quando identifica uma ameaça, apresenta um método e permite que outras pessoas examinem os resultados. Documentação acessível, fiscalização e pesquisa independente ajudam a construir essa confiança.

É essa postura que considero necessária ao falar das urnas brasileiras: reconhecer as proteções existentes, examinar as vulnerabilidades documentadas e cobrar clareza sobre os limites das verificações. Segurança precisa ser sustentada por evidências que possam ser discutidas e aprimoradas.

Uma vulnerabilidade pode ser séria sem constituir prova de fraude. Uma proteção pode ser importante sem oferecer uma garantia absoluta. Compreender essa diferença melhora o debate técnico e a qualidade das decisões.