Neste domingo (25), brasileiros votam no segundo turno para presidente e governador, e a urna eletrônica volta ao centro da conversa. O que dá para dizer com base nos documentos públicos do Tribunal Superior Eleitoral (TSE) e em observadores externos é mais específico do que "é seguro" ou "não é": a urna é um computador de uso único, isolado de redes, cujo resultado pode ser conferido por vários caminhos independentes.

O que é a urna

A urna brasileira é um equipamento de votação eletrônica de registro direto: o eleitor digita o número, confere a tela e confirma. Segundo o TSE, ela não tem hardware de rede, nem com fio nem sem fio, e roda um Linux preparado pela Justiça Eleitoral sem programas de acesso remoto. O único cabo é o de energia, e a bateria interna mantém o equipamento ligado se a luz faltar.

Os votos são gravados no Registro Digital do Voto (RDV), em ordem embaralhada, para que a sequência de gravação não revele quem votou em quem. Os dados são protegidos por criptografia e assinatura digital.

A cadeia de segurança antes da eleição

A proteção não começa no domingo. O TSE descreve um ciclo com etapas verificáveis por quem não é da Justiça Eleitoral:

  • Software assinado e lacrado. Os programas são compilados, assinados digitalmente e lacrados em cerimônia pública em Brasília, e só então distribuídos aos tribunais regionais. A urna executa apenas o sistema assinado.
  • Lacres físicos. Os lacres das urnas são produzidos pela Casa da Moeda do Brasil, numerados em sequência, e evidenciam a violação.
  • Fiscalização. Partidos e outras entidades autorizadas pelo TSE podem acompanhar a preparação e as auditorias, dentro das regras da Justiça Eleitoral.
  • Preparação distribuída. As urnas só são levadas aos locais de votação na véspera, e como os sistemas são programados previamente, não podem ser usadas antes do dia.

No dia da votação

Ao ser ligada pela manhã, a urna emite a zerésima, documento que comprova que todos os candidatos estão cadastrados e que nenhum tem voto. Ao fim da votação, imprime o Boletim de Urna (BU), com o total de votos daquela seção, em várias vias, uma delas afixada na própria seção. O BU tem QR Code, e qualquer pessoa pode comparar o papel afixado com o resultado divulgado depois.

Para a apuração, a urna não "manda" nada pela internet. A mídia com o resultado é retirada e levada a um computador do cartório eleitoral, e a transmissão ao TSE usa canal criptografado. O TSE confere se o resultado foi assinado com a chave daquela urna específica, e os BUs são publicados para comparação com os impressos.

Há ainda o Teste de Integridade, feito em todas as eleições desde 2002: urnas sorteadas são votadas em paralelo, com cédulas de papel e câmeras filmando os números digitados, e o resultado eletrônico é comparado com o papel.

Por que uma fraude em larga escala é tão difícil

Nenhum sistema é infalível, e o TSE não diz isso. A questão prática é o que um ataque precisaria vencer ao mesmo tempo:

  1. Isolamento. Sem hardware de rede, não há caminho remoto convencional para alterar votos durante a votação.
  2. Software controlado. A urna só roda o que foi assinado na cerimônia de lacração, e há conferência da integridade antes de a votação começar.
  3. Evidência física. Violar lacres deixa marca visível, em milhares de seções espalhadas pelo país.
  4. Conferência pública. Cada BU afixado pode ser fotografado e comparado com o resultado divulgado e com o arquivo digital da seção.
  5. Auditoria independente. O Teste de Integridade compara urna e papel no próprio dia, e partidos e entidades podem auditar.

Mudar uma eleição nacional exigiria alterar equipamentos, software, lacres, boletins e totalização em um grande número de seções, sob a vista de fiscais de partidos e de observadores. Essa combinação é o que torna a fraude em escala improvável, e não uma única barreira.

O que mostram os testes públicos

Antes de cada eleição geral, o TSE abre os sistemas a um Teste Público de Segurança, em que especialistas externos tentam violar a integridade ou o sigilo do voto. A edição de 2025 foi realizada de 1º a 5 de dezembro, na sede do TSE, em Brasília. Foram apresentados 109 planos de ataque, dos quais 38 foram aprovados. Segundo o TSE, 29 foram executados e seis tiveram achados considerados mitigáveis. As comissões concluíram que nenhum deles representava risco efetivo à integridade, ao sigilo do voto ou ao resultado das eleições, e os sistemas testados são os que serão usados em 2026.

Circularam postagens dizendo que hackers "invadiram as urnas" em 35 ataques. A Aos Fatos checou e classificou a afirmação como falsa: foram 29 ataques executados, e nenhum alterou votos ou resultados. O teste, vale lembrar, é um exercício controlado e não uma invasão em condições reais de eleição, e os achados servem justamente para corrigir os sistemas, que depois são reexaminados no Teste de Confirmação.

O que dizem observadores independentes

  • Carter Center. Em 2022, a organização enviou uma missão de especialistas a convite do TSE, com escopo limitado: avaliou a tecnologia de votação, a desinformação sobre ela e o quadro legal, e disse que não faria uma avaliação do processo eleitoral como um todo. Segundo a PolitiFact, a equipe encontrou procedimentos de auditoria extensos e a conselheira da entidade afirmou desconhecer evidência de fraude.
  • OEA. A missão da Organização dos Estados Americanos registrou, no relatório preliminar do segundo turno de 2022, que a urna comprovou eficácia, segundo a cobertura do BNews. A missão também ressalvou que a biometria foi um dos fatores de atraso em locais de votação.

Esses documentos reconhecem controles, mas não dizem que não existam limites.

Os limites do sistema

  • Não há comprovante impresso para o eleitor. A urna usada hoje não emite recibo individual do voto. O TSE defende que o voto impresso reintroduziria intervenção humana e riscos de transporte, armazenamento e custódia dos papéis. Quem discorda argumenta que o recibo permitiria uma conferência independente do software. Nesse modelo, a confiança recai sobre o software, os testes e as auditorias, e por isso a transparência dos processos importa.
  • Boa parte da prova é documental e institucional. A conferência por BU e RDV depende de que fiscais e entidades de fato examinem os documentos.
  • Segurança eleitoral não é só tecnologia. Envolve governança, fiscalização, comunicação pública e combate à desinformação.

Como conferir você mesmo

Na saída da seção, você pode fotografar o BU afixado e, depois, comparar com os dados publicados pelo TSE. O BU tem QR Code que o aplicativo "Boletim na Mão", do TSE, consegue ler.

Perguntas frequentes

A urna eletrônica está conectada à internet?

Não. Segundo o TSE, ela não tem hardware de rede, nem com fio nem sem fio. O resultado é levado ao cartório em uma mídia e transmitido por canal criptografado a partir do computador do cartório, e não pela urna.

É possível saber em quem eu votei?

Os votos são gravados em ordem embaralhada no RDV, justamente para impedir que a sequência de gravação revele o voto de alguém.

O que é o boletim de urna?

É o documento impresso ao fim da votação com os totais da seção. Uma via fica afixada no local, e os BUs são publicados para comparação com o resultado oficial.

O Teste Público de Segurança provou que a urna pode ser invadida?

Não. Em 2025, segundo o TSE, 29 planos foram executados, seis tiveram achados mitigáveis e nenhum representou risco efetivo à integridade, ao sigilo ou ao resultado. A afirmação de que as urnas foram "invadidas" em 35 ataques foi classificada como falsa pela Aos Fatos.

Por que a urna não imprime um comprovante para o eleitor?

O TSE argumenta que o voto impresso criaria riscos de transporte, armazenamento e custódia. A ausência do comprovante é uma das principais críticas ao modelo, e o sistema se apoia em auditorias e transparência no lugar do recibo.

Fontes