As urnas eletrônicas completam três décadas de história na democracia brasileira em 2026. Ao longo dos anos, os sistemas foram se modernizando em hardware e arquitetura de segurança para atender aos mais de 158 milhões de eleitores aptos no pleito do próximo domingo (4). Enquanto a Justiça Eleitoral (JE) destaca as camadas de proteção operacionais, o debate sobre a auditabilidade do equipamento permanece no centro das atenções de especialistas e peritos em cibersegurança.
A criação do equipamento visava resolver gargalos históricos do sistema eleitoral do País, marcado por apurações manuais lentas e vulneráveis a fraudes, como o enchimento de urnas de lona e rasuras em cédulas de papel. A informatização teve início com a unificação do cadastro eleitoral, em 1985, e culminou, nas eleições municipais de 1996, na introdução da primeira geração de urnas eletrônicas para um terço do eleitorado da época. Em 2000, o Brasil consolidou a votação 100% digital em todo o território nacional.
Na estreia de 1996, o sistema operava em plataformas computacionais com limitações severas de hardware: processadores simples de baixa frequência e memórias restritas em cartões flash. Segundo dados do Tribunal Superior Eleitoral (TSE), a JE colocará 563.910 urnas eletrônicas em operação nas Eleições Gerais de 2026, divididas em quatro gerações: UE2013; UE2015; UE2020; e UE2022.
De acordo com o órgão, os modelos mais novos (2020 e 2022) representam 77% da frota ativa no país e trazem saltos expressivos. “A UE2020, fabricada em 2021, teve um aumento de 18 vezes na capacidade de processamento em relação à UE2015”, ressalta o secretário de Tecnologia da Informação do TSE, Júlio Valente.
A evolução técnica do equipamento reflete esse salto de desempenho e de experiência do eleitor:
- Poder de processamento e segurança gráfica: Uso do processador Intel Atom E3940 (1,16 GHz), 4GB de memória RAm e armazenamento em SSD, que permite um tempo de resposta imediato ao digitar o voto e boot mais rápido;
- Criptografia no silício: Adoção de um Módulo de Segurança em Hardware (HSM, na sigla em inglês) certificado no padrão ICP-Brasil. O mecanismo é um chip físico dedicado que valida as assinaturas digitais do sistema operacional e impede a execução de softwares não autorizados;
- Acessibilidade e navegação: Adoção da fonte “Atkinson Hyperlegible”, projetada para pessoas com baixa visão, inclusão de uma barra de progresso com a sequência de cargos na tela e ampliação do uso de libras para sinalizar votos brancos, nulos e de legenda. O terminal do mesário passou a contar com tela sensível ao toque, que exibe a foto do eleitor na validação biométrica.
O ciclo de vida e a reciclagem dos equipamentos
Além do software, a infraestrutura física passa por renovações periódicas. As urnas eletrônicas possuem uma vida útil estimada em cerca de 12 anos. Ao final desse período, os equipamentos são desativados por meio de processos que combinam segurança da informação e sustentabilidade.
Ao final desse período, os equipamentos são destinados ao descarte e à reciclagem por meio de uma empresa contratada pelo TSE, seguindo critérios rigorosos de segurança e de proteção ambiental.
Júlio Valente, secretário de Tecnologia da Informação do TSE
Segundo Valente, as peças passam por processos de moagem e destruição mecânica para evitar reaproveitamento indevido. “Dessa forma, mais de 95% dos componentes das urnas são reciclados”, reforça.
O ecossistema off-line e as barreiras de transmissão
Antes do início da votação, a urna imprime a Zeríssima: um documento físico que comprova a ausência de votos registrados no equipamento. O gabinete da máquina também recebe lacres físicos produzidos pela Casa da Moeda, cuja violação invalida o uso do aparelho.
Apesar dos saltos de desempenho, a premissa da arquitetura de segurança permanece a mesma desde a década de 1990: o isolamento lógico e físico. A urna não possui placas de rede, antenas de Wi-Fi, Bluetooth ou suporte para chips de dados móveis. Durante todo o período de votação, o equipamento opera de forma autônoma e off-line.
Ao término da votação, três passos garantem a cadeia de custódia das informações:
- Boletim de Urna (BU): A urna imprime cinco vias físicas do BU, que contém a apuração exata daquela seção antes de qualquer transmissão. Uma das vias é afixada na porta do local de votação para conferência pública de eleitores, fiscais e jornalistas. Para 2026, os BUs passam a contar com a assinatura de hardware no QR Code impressa diretamente com a chave privativa de cada máquina;
- Mídias cifras: os dados gravados no cartão de memória saem do equipamento assinados digitalmente e criptografados;
- Transmissão em rede própria: o envio dos dados para a totalização do TSE ocorre apenas nos cartórios eleitorais, com a utilização de uma infraestrutura de rede privada e exclusiva da Justiça Eleitoral.
As camadas de fiscalização e o Teste Público de Segurança
Segundo a Justiça Eleitoral, o processo eletrônico de votação passa por mais de 40 etapas de auditoria e fiscalização, realizadas antes, durante e após o pleito.
Meses antes do pleito, abre-se a Janela de Inspeção do Código-Fonte, espaço onde entidades fiscalizadoras, a exemplo de partidos políticos, Ordem dos Advogados do Brasil (OAB), Polícia Federal (PF) e universidades, têm acesso às linhas de código para checar a integridade do sistema. Para o pleito de 2026, a versão do Kernel do Linux foi atualizada para a 6.1.147, acompanhada da atualização de todas as bibliotecas de software livre utilizadas.
A proteção do processo eleitoral depende de uma sequência de auditorias realizadas antes, durante e após a votação.
Outro pilar de avaliação é o Teste Público de Segurança (TPS). Na edição de dezembro de 2025, o TSE recebeu 31 investigadores independentes que executaram 35 planos de testes na sede do tribunal. Historicamente, achados apontados por peritos no TPS impulsionam evoluções no sistema:
- Emanação eletromagnética (2009): Identificação do vazamento de ondas eletromagnéticas captadas a curta distância via rádio, o que poderia violar o sigilo do voto no momento da digitação;
- Ordenação do Registro Digital do Voto (2012): Equipe de pesquisadores identificou semente previsível no relógio interno da máquina e chave criptográfica mestra sem proteção na mídia, permitindo a reconstrução sequencial dos votos de uma seção;
- Injeção de código (2017): Testes em ambiente aberto demonstraram a possibilidade teórica de modificação de bibliotecas internas quando os pesquisadores tinham posse física prévia das mídias de carga.
No dia da eleição, ocorre ainda o Teste de Integridade, no qual urnas reais sorteadas na véspera são submetidas a uma votação paralela filmada em ambiente auditado para comparar votos em cédula de papel com o resultado na tela. O procedimento conta também com uma modalidade com biometria, em que eleitores voluntários liberam o equipamento de teste com as digitais após votarem de verdade nas respectivas seções.
A discussão acadêmica sobre a ‘Independência de Software’
Embora a JE destaque que não há registro de fraude confirmada na história do equipamento, cientistas da computação e peritos em cibersegurança defendem avanços na arquitetura do voto no Brasil.
A principal ponderação recai sobre o princípio da independência de software: a diretriz de que um sistema eleitoral plenamente auditável precisa permitir a recontagem de dados por meio de um registro físico independente, sem confiar exclusivamente na execução correta do programa de computador.
Para o professor e pesquisador Mário Alexandre Gazziro, da Universidade Federal do ABC (UFABC) e colaborador da Universidade de São Paulo (USP), o País tem espaço para avançar nas chamadas tecnologias eleitorais de terceira geração.
Resta ainda sermos novamente pioneiros no mundo no que tange às chamadas tecnologias eleitorais de terceira geração, nas quais o registro físico e o digital se tornariam parte do mesmo objeto físico, elevando ainda mais a confiabilidade e auditabilidade do processo.
Mário Alexandre Gazziro, pesquisador
Organizador do 1° Fórum Nacional de Segurança em Urnas Eletrônicas na USP, em 2013, Gazziro defende a migração para sistemas de terceira geração, em que o comprovante impresso e a chave digital em QR Code atuam juntos na garantia da auditabilidade direta pelo eleitor.
Cenário de viabilidade técnica
Do ponto de vista da engenharia de redes e da segurança da informação, a alteração do resultado de uma eleição nacional por meio de ataques hacker envolveria restrições operacionais de altíssima escala:
- Ausência de vetor remoto: A falta de conexão com a internet impede invasões a partir de acessos externos no dia da eleição;
- Necessidade de penetração em massa: Ações em seções isoladas não causam impacto em disputas estaduais ou federais. A mudança de panorama exigiria adulterar dezenas de milhares de máquinas sem acionar os mecanismos de trava na inicialização;
- Conferência pública dos BUs: Qualquer alteração na fase de totalização centralizada seria identificada no confronto direto com os Boletins de Urna impressos e distribuídos fisicamente antes do envio dos dados.
Diante do modelo de proteção atual, peritos da Polícia Federal e pesquisadores de segurança que participam das auditorias do TSE afirmam que uma fraude em larga escala exigiria um nível de cooperação e comprometimento prévio da cadeia interna de desenvolvimento do software ou das mídias de carga. Esse cenário, no entanto, é considerado de extrema improbabilidade sob os protocolos vigentes da Justiça Eleitoral.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
