Urna eletrônica pode ser fraudada? Especialistas explicam

Bruna Borges
Do UOL, em Brasília

29/08/2014

A urna eletrônica usada no Brasil não é totalmente confiável, está sujeita a fraudes internas e externas e não permite auditoria, segundo especialistas ouvidos pelo UOL. Isso significa que seu voto pode ir a outro candidato e não necessariamente o crime será descoberto.

No último teste público do equipamento promovido pelo TSE (Tribunal Superior Eleitoral), em 2012, uma equipe de especialistas em computação da UnB (Universidade de Brasília) descobriu uma lacuna no sistema de segurança. O tribunal não permitiu novos exames públicos e não respondeu por que não realizou mais avaliações. 

"Atualmente votamos com confiança incondicional na autoridade eleitoral e seus processos, algo que não faz qualquer sentido do ponto de vista de segurança", afirmou Diego Aranha, professor de computação da Unicamp (Universidade Estadual de Campinas) e da UnB, que liderou o grupo de especialistas em segurança e tecnologia da informação que encontrou a brecha na urna.

O grupo conseguiu quebrar o sigilo da urna e desembaralhar a ordem dos votos fictícios registrados  no equipamento. "Em um sistema com registro puramente eletrônico dos votos, como o brasileiro, há o perigo constante de fraude em larga escala via software e sem possibilidade de detecção. Uma fraude sofisticada pode inclusive eliminar os próprios rastros, tornando-se indetectável até em uma auditoria posterior nas memórias internas dos equipamentos", explicou Aranha.

Para o professor Pedro Rezende, do Departamento de Ciência da Computação da UnB, a votação no Brasil continua podendo ser fraudada mesmo depois de ser informatizada. "Não há sistema informatizado invulnerável. Qualquer interessado em fraudar um complexo sistema informatizado buscará o caminho que lhe ofereça melhor relação entre o esforço ou dificuldade de execução, e o risco de ter o efeito da fraude desvelado e anulado ou a sua autoria rastreada e punida."

Principais problemas da urna eletrônica, segundo especialistas

·         Possibilidade de fraudes externas

Fraudes externas, no software da urna, são difíceis de achar. Um grupo conseguiu quebrar o sigilo da urna em um teste em 2012 e desembaralhar a ordem dos votos fictícios registrados. "Há o perigo constante de fraude em larga escala via software e sem possibilidade de detecção. Uma fraude sofisticada pode inclusive eliminar os próprios rastros, tornando-se indetectável", explica Diego Aranha

·         Possibilidade de fraudes internas

Há chances de ataques internos. Segundo Amílcar Brunazo Filho, supervisor do Fórum do Voto Eletrônico, a urna brasileira é vulnerável a ataques internos, os efetuados por quem atua nas eleições como mesários e funcionários do TSE. "Alguns dos ataques dá para detectar, outras fraudes não dá se for via software. E a sociedade não consegue garantias de que o sistema foi fraudado"

·         Não há garantia (voto impresso)

O sistema utilizado pela urna brasileira conta os votos apenas eletronicamente, mas não permite a verificação ou a recontagem independente de software

Fonte: Especialistas ouvidos pelo UOL

Questionado sobre a segurança da urna brasileira, o TSE (Tribunal Superior Eleitoral) tergiversou. "A confiabilidade não é determinada pela razão, mas pela percepção que uma ou mais pessoas têm sobre algo (equipamento, processo, governo, cliente, fornecedor, etc). No entanto, a segurança deve ser garantida por barreiras impostas tendo como base a realidade e não em aspectos subjetivos da percepção", afirmou Giuseppe Janino, secretário de Tecnologia de Informação do tribunal.

O TSE também afirmou que tem buscado bloquear possíveis ataques, mas reconhece que "tais barreiras nem sempre 'garantidamente' impedem uma fraude". Segundo Janino, o fraudador "com grande margem de certeza" deixa marcas que permitem sua identificação. O secretário, no entanto, não explicou que meios utiliza para manter a segurança dos dados nas eleições e fiscalizar supostas sabotagens nas urnas. Também não informou o percentual do que chama de "margem de certeza".

Críticas e modelos de urnas

Uma das recomendações dos membros do Fórum do Voto Eletrônico é a introdução do voto impresso complementar para que o eleitor possa conferir se seu voto foi registrado corretamente na urna para permitir a auditoria independente da apuração do TSE. A iniciativa ocorre na Argentina, Israel, Estados Unidos, Equador, Bélgica, Canadá e Peru, de acordo com os especialistas.

A Justiça Eleitoral brasileira implantou a urna eletrônica em 1996 e utiliza desde então um modelo de equipamento que os especialistas em segurança da informação chamam de sistema de 1ª geração, que é exclusivamente eletrônico. Já foram criadas as de 2ª e 3ª geração, que incluem uma versão impressa auxiliar ao meio eletrônico.

O equipamento usado no Brasil é do modelo DRE (Direct Record Electronic) foi criado em 1991. Ele conta votos eletronicamente, mas não permite a verificação ou a recontagem independente de software. Isso quer dizer que se a votação ou a apuração for violada dificilmente será identificada e sua auditoria não é possível, apontam especialistas.

Há também equipamentos de 2ª geração como o modelo VVPT (Voter-Verifiable Paper Audit Trail) criado em 2000. Esse sistema exige um registro impresso do voto digital para que seja possível uma auditoria independente do software da máquina. "Alguns tipos de urna requerem o registro material [de papel] na entrada da coleta eletrônica, onde uma cédula é escaneada, enquanto outros geram o registro material como saída, imprimindo uma cédula correspondente ao voto digital coletado", explicou Rezende. Segundo o professor da UnB, esse modelo é passível de sabotagem também porque se houver discrepância entre a contagem eletrônica, automática, e a física, com o papel do voto, a auditoria não consegue  descobrir qual delas foi violada.

Os especialistas destacam o modelo E2E (End-to-End auditability) que é de 3ª geração como o mais transparente. Essas máquinas começaram a ser usadas em 2006 na Argentina e em regiões dos Estados Unidos. O modelo concentra as duas versões de voto, a impressa e a digital. O voto é eletrônico, mas gera um papel com voto e um chip com o registro do voto eletrônico. Assim, caso haja alguma discrepância entre uma contagem eletrônica e do voto impresso, é possível identificar a origem do erro ou da fraude.

"Votação puramente eletrônica e votação puramente em papel são sistemas vulneráveis a vários ataques. Combinar as duas tecnologias exige que o fraudador seja capaz de manipular não apenas as cédulas eleitorais, mas também a contagem eletrônica de votos, para que ambos os registros sejam compatíveis, o que termina por aumentar o custo de ataque substancialmente", afirmou Aranha. "A imensa maioria das máquinas de votar em operação em outros países obedecem a esses princípios, para que os resultados não dependam unicamente do software de votação. Em sistemas com registro físico dos votos, tentativas de manipular o resultado se tornam visíveis, e, portanto passíveis de detecção por eleitores ou fiscais de partido."

Os especialistas consultados pelo UOL explicam que a fraude no sistema exclusivamente eletrônico é difícil de ser identificada porque não há outra maneira de contagem de votos que identificaria um erro ou sabotagem. Se o voto eletrônico fosse combinado com o impresso seriam duas contagens que precisariam ser correspondentes e uma funcionaria como auditoria da outra. Em caso de fraude, ficaria muito mais difícil ao responsável pela sabotagem corromper os dois meios de votação, impresso e eletrônico.

"Uma solução interessante é adotada na Argentina: cada cédula de votação carrega o registro impresso (para verificação pelo eleitor) e eletrônico (para apuração rápida) de um voto individual", defendeu Aranha.

Casos suspeitos de fraude

        

Saquarema (RJ)

Um hacker identificado apenas como Rangel afirmou que conseguiu violar a urna durante as eleições de 2012 e mudar os votos antes da transmissão para a TSE por meio de um acesso da intranet do tribunal. Ele capturava o voto, alterava os resultados e retransmitia. Segundo ele, havia um leilão na internet para que hackers efetuassem o trabalho. O caso é investigado pela Polícia Federal.

Caxias (MA)

Uma urna de uma seção da periferia de Caxias (MA) apresentou problemas, segundo relatos de eleitores em 2012. Um dos indícios é que um dos candidatos que votava na seção da urna não teve nenhum voto computado, nem o dele mesmo. Outros eleitores alegaram que quando digitavam o número do candidato não aparecia a foto dele. O caso foi investigado pela Justiça Eleitoral.Foto: Arte/UOL

·         Alagoas

Durante as eleições para governador de 2006 um terço das urnas eletrônicas utilizadas em Alagoas apresentou funcionamento irregular e impróprio, revelou o ITA (Instituto Tecnológico de Aeronáutica). O caso foi investigado pela Justiça Eleitoral que após quase quatro anos arquivou o processo.

Concentração de poder da Justiça Eleitoral

No Brasil, o TSE organiza e julga o processo eleitoral e isso comprometeria a isenção do órgão, segundo os especialistas. Eles defendem que seja criada uma entidade independente para organizar as eleições e que o TSE fique cuide exclusivamente dos processos judiciários das eleições como julgamento de registros, impugnações, recursos, entre outros.

Para Amílcar Brunazo Filho, o principal problema do sistema de votação no país é a concentração de poder da Justiça Eleitoral. É o que os especialistas chamam de "autoridade eleitoral".  "O TSE são juízes e administradores. A regra de transparência é estabelecida por eles. Se você questiona, eles vestem a roupa de juiz e vão julgar se erraram?", questiona.

"Até onde sei, dentre as democracias atuais, só no Brasil as votações oficiais são regulamentadas, executadas e julgadas por uma mesma instituição. Mais precisamente, por um ramo atípico do judiciário cuja cúpula congrega metade dos juízes da Corte Suprema, os quais não se constrangem em alardear, até em sentenças, a falaciosa suposta invulnerabilidade do sistema de votação que eles controlam", declarou Rezende.

Questionado a respeito da concentração de poder, o TSE não se posicionou sobre a crítica feita pelos especialistas nem respondeu sobre a possibilidade de ser criado um órgão independente para administrar as eleições.

A resposta da seção jurídica do TSE sobre esta questão foi: "a Constituição de 1988 não dispõe sobre a competência da Justiça Eleitoral, limitando-se a dizer que ela será definida em lei complementar (art. 121, caput), porém tal lei complementar ainda não foi editada, acordando os doutrinadores que se consideram as disposições do Código Eleitoral."

Aranha e um grupo de especialistas em computação desenvolveram um aplicativo para que o próprio eleitor atue como auditor da apuração eleitoral, o "Você Fiscal". A ideia é auditar o processo final da votação, a chamada totalização, que envolve a soma dos resultados parciais produzidos por urnas eletrônicas em todo o país.

Para utilizar o aplicativo, o eleitor deverá tirar fotos do BU (boletim de urna) que é disponibilizado na seção eleitoral ao final da votação. Esse boletim é uma espécie de recibo emitido pelas urnas eletrônicas dos votos de cada candidato. As fotos do boletim são comparadas pelo aplicativo, que também relaciona a informação extraída dessas fotos com os boletins eletrônicos publicados pelo TSE alguns dias após o resultado da eleição.

"Desta forma, ficam evidentes possíveis erros ou fraudes na transmissão dos BUs para os servidores do TSE. A fiscalização será efetuada nas eleições ainda deste ano e a previsão é de que o aplicativo fique pronto entre 15 e 20 de setembro", explicou o professor.