No domingo, 4 de outubro, o Brasil ligou 499.248 urnas para o primeiro turno das eleições gerais, com 158,7 milhões de eleitores aptos a votar. Ao longo do dia, 1.904 máquinas apresentaram defeito e foram trocadas, menos de 0,4% do total, e nenhuma seção precisou recorrer à cédula de papel, segundo o balanço do Tribunal Superior Eleitoral (TSE).
Bastou o número circular para a pergunta de sempre voltar às redes: se quase duas mil máquinas falharam, dá para confiar nas outras? A desconfiança não é pequena. Em pesquisa Quaest de fevereiro de 2026, 53% dos entrevistados consideravam as urnas confiáveis e 43% discordavam.
Este artigo responde por partes: como a urna eletrônica funciona, que proteções ela tem, o que pesquisadores já conseguiram fazer contra ela em testes oficiais e o que seria preciso para invadi-la de verdade. Há pontos fortes bem documentados e há críticas técnicas que continuam de pé. As duas coisas aparecem aqui.
Como funciona a urna eletrônica, do “confirma” ao resultado
A urna é um computador de função única. Ela roda um sistema operacional baseado em Linux, desenvolvido pelo próprio TSE, e tem dois terminais: o do mesário, que libera o eleitor e impede que alguém vote duas vezes, e o do eleitor, com tela e teclado numérico.
Três registros contam a história de cada seção:
- Zerésima. Antes do primeiro voto, a urna imprime um relatório mostrando que todos os candidatos estão com zero.
- Registro Digital do Voto (RDV). Cada voto é gravado em uma tabela embaralhada, fora da ordem em que as pessoas votaram, para que não seja possível ligar o voto ao eleitor.
- Boletim de urna. Encerrada a votação, a máquina imprime o resultado daquela seção. Uma via vai para a porta do local de votação, com QR Code para conferência.
Ou seja, a apuração começa na própria seção. Só depois os arquivos são retirados da urna e enviados por canais criptografados. Antes de entrar na soma nacional, cada arquivo passa por conferência de origem e de assinatura digital. “Não é só receber e somar. Tudo é verificado”, disse à Agência Brasil Júlio Valente, secretário de Tecnologia da Informação do TSE.
Esse desenho tem uma consequência prática. Como o resultado de cada seção fica exposto na porta, qualquer pessoa pode comparar o papel com o número divulgado depois pela Justiça Eleitoral.
As camadas de proteção: sem rede e com assinatura digital
A proteção mais citada é também a mais simples. Segundo o TSE, a urna “não possui conexão com internet, Wi-Fi ou Bluetooth”. Isso elimina o cenário que a maioria das pessoas imagina quando pensa em invasão: alguém atacando as máquinas a distância, de um computador qualquer.
A segunda camada é a assinatura digital. Ao ligar, a urna confere em sequência as assinaturas do sistema e, se encontra qualquer alteração, interrompe a inicialização. O princípio é o mesmo que sustenta a perícia digital com hash: o resumo matemático de um arquivo muda por completo se um único bit for alterado. O programa oficial também só roda em equipamento certificado.
O restante acontece fora da máquina:
- Código-fonte aberto à inspeção. Para 2026, o TSE abriu o código em 2 de outubro de 2025, um ano antes da votação, a partidos, universidades, Polícia Federal, Ministério Público e entidades da sociedade civil.
- Lacração. Depois de conferidos, os programas são assinados e lacrados no TSE. Os resumos digitais gerados nessa cerimônia permitem verificar se a urna de qualquer cidade carrega exatamente aqueles arquivos, numa lógica parecida com a da cadeia de custódia de uma prova digital.
- Fiscalização em série. A Justiça Eleitoral contabiliza cerca de 40 etapas de fiscalização e auditoria, da abertura do código à totalização.
O que os testes públicos já encontraram
Desde 2009, o TSE convida gente de fora para atacar o sistema. O Teste Público de Segurança já teve oito edições, e qualquer brasileiro maior de 18 anos pode inscrever um plano de ataque. Os investigadores encontram falhas, e essa é justamente a função do teste.
| Edição | O que os investigadores conseguiram | Desfecho |
|---|---|---|
| 2012 | Equipe da UnB liderada por Diego Aranha recuperou, em eleição simulada, a ordem dos votos gravados no RDV, o que ameaçava o sigilo. | Falha corrigida, como o próprio pesquisador confirmou depois. |
| 2017 | Grupo de Aranha, já na Unicamp, executou código próprio na urna e alterou textos exibidos na tela. A versão que tentaria alterar votos não chegou a ser testada no equipamento: o prazo acabou antes. | Em maio de 2018, o TSE informou ter corrigido todos os problemas apontados. |
| 2025 | Dos 35 planos previstos, 29 foram executados e quatro tiveram achados, entre eles pontos no kit de transmissão de boletins (JE-Connect) e uma brecha que deixava ver pastas protegidas. | Correções conferidas pelos mesmos investigadores de 13 a 15 de maio de 2026. |
A tabela pede duas ressalvas, uma para cada lado. A primeira: os investigadores trabalham com “livre acesso aos equipamentos e aos códigos-fonte”, condição que ninguém teria no dia da eleição. Por isso a Justiça Eleitoral desmentiu, em agosto, a postagem que tratava os achados de 2025 como prova de urna invadida. Segundo o tribunal, nenhum deles comprometeu o sigilo do voto ou o resultado.
A segunda: os próprios pesquisadores reclamam do formato. No relato técnico sobre o teste de 2017, a equipe de Aranha conta que os trabalhos foram interrompidos às 18h do último dia e pede prazo e escopo maiores. Um teste curto mostra o que foi possível achar naquele tempo, não tudo o que existe.
Então, é possível invadir a urna eletrônica?
A resposta honesta tem três partes.
Pela internet, não. Sem rede, não existe caminho remoto até a máquina. O ataque teria de ser presencial, urna por urna.
Com acesso físico, a barreira é a escala. Os testes de 2012 e 2017 mostraram que o programa já teve falhas exploráveis por quem estava com a máquina e o código nas mãos. Nenhum sistema é invulnerável, e os testes existem por isso. Uma fraude real, porém, exigiria adulterar um programa assinado sem que a urna recusasse a inicialização, repetir a operação em milhares de equipamentos lacrados e guardados em locais diferentes e ainda passar pelas auditorias do dia da votação. Isso nunca foi demonstrado. “Não temos, desde 1996, nenhum caso comprovado de fraude nas urnas eletrônicas”, afirma Valente.
Os sistemas do TSE são outra história. A rede administrativa do tribunal é alvo como a de qualquer órgão público, em um país que registra milhares de ataques cibernéticos por semana. Em 7 de novembro de 2018, o TSE pediu à Polícia Federal que investigasse uma possível invasão a seus sistemas internos. Em nota de 2021, o tribunal tratou o episódio como ataque ao sistema interno e sustentou que ele não alcançou a votação, porque “as urnas eletrônicas jamais entram em rede” e o programa “simplesmente não roda se vier a ser modificado”. Confundir invasão de sistema interno com invasão de urna está na origem de boa parte dos boatos.
A crítica técnica que continua de pé
Existe uma objeção que não depende de teoria de fraude. Pesquisadores como Diego Aranha e Mário Gazziro, que em 2018 atuava no ICMC-USP, defendem que a urna brasileira depende demais do próprio programa e que um registro impresso, conferido pelo eleitor, permitiria auditoria independente. Para Gazziro, ouvido pelo Jornal da USP, essa “é a única forma de garantir que os votos sejam auditados caso haja algum problema no registro eletrônico”.
Do outro lado, o Supremo Tribunal Federal considerou o voto impresso inconstitucional em 2020, por risco ao sigilo. O debate é legítimo e é diferente de afirmar que houve fraude: a auditoria pedida pelo PSDB depois da eleição de 2014 não encontrou nenhuma, embora tenha recomendado o registro impresso.
As auditorias do dia da eleição
Duas conferências acontecem no próprio domingo de votação.
No Teste de Integridade, urnas já instaladas nas seções são definidas na véspera, recolhidas e levadas a um local público. No dia seguinte, servidores digitam nelas votos anotados antes em cédulas de papel, com tudo filmado. No fim, o boletim da urna tem de bater com a contagem manual. Em São Paulo, 33 urnas passaram pelo teste, com a presença de representante da Organização dos Estados Americanos (OEA). No Distrito Federal foram 20, e o resultado confirmou a correspondência entre cédulas e votos.
No Teste de Autenticidade, feito na seção antes da zerésima, o lacre do compartimento da mídia é rompido em ato público, e as assinaturas e os resumos digitais são comparados com os dos programas lacrados no TSE. Nas dez urnas verificadas em São Paulo, “todas as verificações ocorreram de forma regular”, informou o tribunal regional.
São amostras, não a totalidade. A lógica é estatística: como ninguém sabe de antemão quais máquinas serão escolhidas, uma adulteração em larga escala teria grande chance de aparecer.
Para o eleitor, o cuidado mais útil até o segundo turno, marcado para 25 de outubro onde houver disputa, é com o que chega pelo celular. Vídeos e áudios fabricados com inteligência artificial circulam com facilidade, e os sinais que descrevemos em golpes com deepfake valem também para conteúdo eleitoral.
Conclusão: o que sustenta a confiança na urna eletrônica
A urna eletrônica nunca foi “à prova de hackers”, e a Justiça Eleitoral admite isso toda vez que chama gente para atacá-la. O que sustenta o sistema é a soma: máquina isolada, programa assinado, resultado impresso em cada seção e auditorias com data marcada, feitas diante de quem quiser assistir. Em 30 anos, falhas foram achadas e corrigidas. Fraude em eleição real, nenhuma foi comprovada.
O que segue em aberto é quanto dessa conferência pode ser feita por gente de fora, sem depender do programa da própria máquina. É uma discussão técnica, que merece ser travada com dados e não com vídeos de origem duvidosa. Enquanto ela não avança, o eleitor já tem uma ferramenta simples: olhar o boletim colado na porta da seção e comparar com o resultado publicado.
Perguntas frequentes sobre a urna eletrônica
A urna eletrônica tem conexão com a internet?
Não. Segundo o TSE, o equipamento não tem internet, Wi-Fi nem Bluetooth. O resultado sai impresso no boletim de urna e gravado em uma mídia, que é retirada da máquina para a transmissão.
Alguém já conseguiu hackear a urna eletrônica?
Em testes oficiais, com acesso ao equipamento e ao código, sim: em 2012 pesquisadores recuperaram a ordem dos votos e, em 2017, executaram código próprio na máquina. As falhas foram corrigidas. Em eleição real, não há caso comprovado de fraude desde 1996.
Urna trocada no dia da eleição significa fraude?
Não. A troca acontece por defeito, como em qualquer equipamento. Os votos já registrados são recuperados da mídia da urna com problema, e a votação continua em outra. No primeiro turno de 2026 foram 1.904 trocas entre 499.248 urnas.
Como conferir o resultado da minha seção?
Ao fim da votação, uma via do boletim de urna é afixada no local. Dá para fotografar e comparar com o resultado daquela seção divulgado pela Justiça Eleitoral.
Por que o Brasil não usa voto impresso?
Uma lei de 2015 previa a impressão, mas o STF a suspendeu em 2018 e a declarou inconstitucional em 2020, por risco ao sigilo do voto. Parte dos pesquisadores da área continua defendendo o registro em papel como forma de auditoria independente.
Fontes
- SBT News e Poder360: balanço do TSE sobre o 1º turno (4 de outubro de 2026).
- TSE e TRE-SP (integridade e autenticidade): auditorias do dia da eleição.
- Justiça Eleitoral, Fato ou Boato: resultados do Teste Público de Segurança de 2025 e do Teste de Confirmação de 2026.
- Aranha, Barbosa, Cardoso, Luders e Matias: relato técnico sobre o Teste Público de Segurança de 2017 (Sociedade Brasileira de Computação).
- Aos Fatos: funcionamento da urna, auditoria de 2014 e voto impresso; correção da falha de 2012; correções de 2018.
- Agência Brasil, reproduzida por O Povo e Diário do Grande ABC: entrevistas com Júlio Valente (julho e agosto de 2026).
- Poder360: desmontagem pública da urna (3 de agosto de 2026); SBT News: abertura do código-fonte.
- Metrópoles e Poder360: ataque aos sistemas internos do TSE em 2018 e nota do tribunal.
- Jornal da USP: críticas de pesquisadores e defesa do registro impresso (2018).
- Band: pesquisa Quaest de fevereiro de 2026 sobre confiança nas urnas.