Desde 1996, a urna eletrônica ocupa um lugar central nas eleições brasileiras. Em três décadas, o sistema foi aprimorado para proteger o voto em etapas decisivas: coleta, apuração na seção e totalização dos resultados. O som do “confirma” encerra apenas a parte visível da operação. Depois dele, o voto é registrado, reorganizado e protegido por assinaturas digitais, sem ser associado à identidade do eleitor. A urna não é um computador comum conectado à internet. É uma máquina especializada, mais próxima de um aparelho de função única do que de um PC doméstico.
Durante a votação, o equipamento permanece fechado e em estado de espera até ser habilitado pelo próprio eleitor, utilizando a biometria quando esse recurso está disponível. Cerca de 90% dos eleitores brasileiros já estão cadastrados biometricamente. O mesário identifica quem está na fila, mas não libera o voto por conta própria. A diferença parece pequena. Não é. Ela separa a conferência da identidade do registro da escolha, duas operações que não são misturadas pelo sistema.
Depois que o eleitor confirma, o voto é registrado individualmente no Registro Digital do Voto, o RDV. Os registros são organizados em ordem lexicográfica, agrupados pelos números dos candidatos: primeiro ficam os votos destinados a um número, depois os associados ao seguinte, e assim por diante. A cada novo voto, o arquivo é reorganizado e assinado digitalmente. E não há uma lista dizendo que determinado eleitor escolheu determinado candidato — não, o contrário — os dados de identificação não são correlacionados com o voto.
O voto fica ligado à identidade do eleitor?
Não, o voto não fica ligado ao nome, ao título de eleitor ou à biometria de quem votou. Segundo o Tribunal Superior Eleitoral, nenhuma dessas informações é associada ao conteúdo da escolha, o que impede que técnicos, desenvolvedores ou agentes da Justiça Eleitoral saibam em quem uma pessoa votou a partir dos registros da urna.
Essa separação é uma peça essencial do sigilo. O sistema precisa confirmar que o eleitor está apto a votar, mas não pode transformar essa verificação em uma etiqueta anexada ao voto. Parece uma exigência elementar — e é justamente por isso que merece atenção. Segurança eleitoral não se resume a esconder o equipamento; depende de impedir que etapas diferentes da votação formem um caminho de volta até o eleitor.
Quando a votação termina, às 17h, o RDV é publicado na internet. Qualquer cidadão, entidade ou partido pode baixar o arquivo e refazer a apuração da seção eleitoral. A fiscalização, portanto, não fica restrita à contagem feita pelos sistemas oficiais. O resultado pode ser conferido a partir dos registros digitais, numa operação que transforma a transparência em procedimento verificável, não em promessa de palanque.
Por que a urna não funciona como um computador comum?
A urna eletrônica brasileira não possui hardware nem software para Wi-Fi, Bluetooth ou conexão com redes cabeadas. Por isso, um ataque remoto durante a votação é tecnicamente inviável: seria necessário acessar fisicamente as máquinas, alterar seus componentes ou programas e fazer isso em larga escala, dentro de uma janela de tempo restrita.
A proteção é construída em camadas. Desde 2009, a urna utiliza o Módulo de Segurança Embarcado, o MSE, um chip instalado na placa-mãe e protegido por resina. Antes da inicialização, ele valida as assinaturas digitais dos softwares. Se encontra um arquivo que não foi assinado pelo TSE, interrompe o funcionamento e pode cortar a energia da placa-mãe em até quatro minutos. Se alguém tenta violar a resina, a área é destruída e o equipamento fica inutilizado. Nada muito cinematográfico. Segurança boa costuma ser assim.
Existe também o Teste de Integridade no dia da eleição, realizado desde 2002. Urnas sorteadas são levadas a laboratórios, recebem votos simulados com gravação em vídeo e têm seus resultados comparados ao final do dia. De acordo com o TSE, nunca foi registrada divergência nesse procedimento em mais de 20 anos. Nenhuma máquina é 100% invulnerável; a questão prática é outra: seria preciso comprometer milhares de equipamentos presencialmente, sem deixar rastros, antes do encerramento da votação.
O software é atualizado a cada eleição, e os mecanismos de defesa também são submetidos a testes públicos. O Teste Público de Segurança ocorre nos anos ímpares e permite que especialistas elaborem planos de ataque para procurar falhas, inclusive com ferramentas de inteligência artificial. A IA pode ajudar a encontrar problemas; não ganha, por isso, uma porta secreta para a urna. No fim, o que protege o voto não é uma peça isolada, mas a combinação de sigilo, fiscalização, isolamento físico e verificação independente. Depois do “confirma”, a escolha desaparece da identidade e permanece na contagem.
