Engenheirando: A engenharia por trás do voto: o que acontece entre o teclado da urna e o resultado da eleição

O dia em que a democracia vira um sistema de engenharia

A campanha eleitoral já está nas ruas. O eleitor vê bandeiras, carreatas, santinhos, debates e pedidos de voto. Entretanto, por trás dessa camada visível existe uma operação de engenharia de sistemas que precisa funcionar, ao mesmo tempo, em escolas urbanas, aldeias, comunidades ribeirinhas, áreas rurais e no exterior. É uma operação que combina eletrônica embarcada, criptografia, desenvolvimento de software, logística, energia, telecomunicações, auditoria, acessibilidade, gestão de riscos e comunicação pública.

Nas Eleições Gerais de 2026, o primeiro turno ocorrerá em 4 de outubro, com eventual segundo turno para presidente e governadores em 25 de outubro. O eleitor fará seis escolhas: deputado federal, deputado estadual ou distrital, dois senadores, governador e presidente. A votação será realizada das 8h às 17h, pelo horário de Brasília, em todo o país.

O tamanho do problema é um dado de engenharia por si só. O Tribunal Superior Eleitoral informa que 158.745.463 eleitoras e eleitores estarão aptos a votar e que serão colocadas em operação 563.910 urnas eletrônicas. Não se trata apenas de fabricar ou distribuir máquinas: é preciso garantir que cada equipamento receba a configuração correta, opere por horas, preserve o sigilo, produza um resultado verificável e entregue seus arquivos a uma cadeia de totalização capaz de suportar um pico nacional de dados.

Fonte: Tribunal Superior Eleitoral.

Minha tese, nesta edição da Engenheirando, é simples: a confiança na eleição não deve depender de fé na tecnologia nem de desconfiança automática; deve depender de evidências, controles independentes e capacidade de explicar os limites do sistema. Engenharia séria não promete milagres. Ela identifica riscos, cria barreiras, mede resultados, registra falhas e corrige o projeto.

1. A urna não é um computador comum

A urna brasileira é um equipamento dedicado, desenvolvido a partir de requisitos definidos pela Justiça Eleitoral. Ao longo de três décadas, quatro empresas venceram licitações para fabricar diferentes gerações do equipamento, mas o projeto não é um produto de prateleira escolhido livremente pelo fornecedor. O TSE informa que já foram produzidos 14 modelos e 1.487.115 equipamentos, sempre conforme especificações e supervisão do Tribunal.

Em 2026 serão utilizados quatro modelos: UE2022, UE2020, UE2015 e UE2013. Os dois mais recentes somam 439.468 unidades, o equivalente a 77,9% das urnas previstas. A UE2020 trouxe, segundo o TSE, aumento de capacidade de processamento em relação à UE2015, tela sensível ao toque no terminal do mesário e certificação ICP-Brasil do perímetro criptográfico do hardware.

Uma das decisões arquiteturais mais importantes é o isolamento da urna durante a votação. A Justiça Eleitoral afirma que o equipamento não opera conectado à internet, ao Wi-Fi, ao Bluetooth ou a uma rede externa. Isso muda completamente o tipo de ameaça que precisa ser enfrentada: um atacante remoto não pode simplesmente acessar a máquina pela internet e alterar o voto de uma seção em funcionamento. A segurança, porém, não termina no isolamento físico. Ela continua na preparação das mídias, na assinatura dos programas, na verificação da inicialização, na custódia dos equipamentos e na validação dos arquivos após o encerramento.

Uma apresentação técnica do TSE sobre a UE2022 detalha a existência de um Módulo de Segurança Embarcado, de mecanismos de inicialização segura e de processadores dedicados a funções de proteção. A informação é valiosa para compreender a engenharia interna, mas deve ser lida com o cuidado que se espera de qualquer análise técnica: uma apresentação institucional descreve a arquitetura e os controles previstos; ela não substitui a auditoria do código, do processo de fabricação, da cadeia de compilação ou da operação real.

Esse é um ponto que costuma desaparecer no debate político. “Não estar conectada à internet” não significa “ser magicamente imune a qualquer risco”. Significa que uma classe inteira de ataques remotos é eliminada ou fortemente reduzida. Restam outras classes de risco — cadeia de suprimentos, configuração, acesso físico, falhas de software, erro humano, transporte, credenciais e infraestrutura — que precisam de controles próprios.

2. O primeiro controle é provar que a urna começa vazia

Antes da votação, a Justiça Eleitoral prepara cada equipamento com os dados daquela eleição: candidaturas, eleitores habilitados, seção, zona e demais parâmetros necessários. A chamada tabela de correspondência associa a urna física à seção para a qual foi preparada. Essa associação é crucial, porque impede que um arquivo produzido por um equipamento seja aceito como se tivesse vindo de outra urna ou seção.

No início do dia, a urna emite a zerésima, relatório que demonstra que não há votos registrados antes do primeiro eleitor. É um controle simples, visível e poderoso: a seção começa com uma fotografia pública do estado inicial do equipamento. Ao final, a urna imprime o Boletim de Urna (BU), documento que registra a votação daquela seção. O BU é afixado no local de votação e também integra os arquivos digitais destinados à transmissão.
Durante o voto, o equipamento registra as escolhas no Registro Digital do Voto (RDV). O objetivo do RDV é permitir conferência e eventual recontagem sem identificar a ordem dos votantes. O sistema precisa resolver dois requisitos que parecem contraditórios: registrar cada voto para que a soma possa ser verificada e, ao mesmo tempo, impedir que alguém descubra em quem uma pessoa específica votou. Por isso, a transparência eleitoral não significa publicar a identidade do eleitor associada à sua escolha; significa disponibilizar artefatos de conferência sem quebrar o sigilo constitucional.

O ponto fundamental é que o resultado nasce na seção. A transmissão não cria os votos; ela transporta arquivos produzidos após o encerramento. Essa distinção é a chave para entender por que o BU impresso é tão importante: ele funciona como uma cópia pública do resultado local, acessível a fiscais, partidos, jornalistas e cidadãos presentes no local de votação.

3. Apuração, transmissão, totalização e divulgação não são a mesma coisa

É comum ouvir que “o TSE soma os votos” como se existisse uma única operação central, escondida e instantânea. A realidade é mais organizada. Existem etapas diferentes, com funções e controles diferentes.

A apuração ocorre na seção eleitoral, quando a urna encerra a votação e produz os arquivos e o BU. A transmissão leva a mídia de resultado ao ponto de recebimento. A totalização soma os boletins de urna que foram recebidos e validados, aplicando as regras correspondentes a cada cargo. A divulgação disponibiliza os resultados para a sociedade e para os partidos.

O próprio TSE resume a sequência da seguinte forma:

“Depois de receber os dados, os TREs dão início ao procedimento de totalização dos votos (soma de todos os boletins de urna) e, em seguida, à divulgação dos resultados.”

Em locais de difícil acesso, como determinadas aldeias indígenas e comunidades ribeirinhas, o TSE prevê transmissão via satélite. Em outras localidades, a mídia de resultado é encaminhada ao ponto de transmissão. O sistema apresentado pelo Tribunal para o Teste Público de Segurança descreve um fluxo com Transportador, JEConnect, módulos de recebimento, filas de mensageria, validações de assinatura e gravação em banco de dados.

A velocidade do resultado decorre dessa arquitetura distribuída. Em vez de transportar cédulas físicas para uma central e iniciar uma contagem manual, o país recebe arquivos assinados, verifica sua origem e soma os BUs validados. Isso reduz o tempo de transporte e de tabulação. Mas rapidez não deve ser confundida com ausência de verificações. Um sistema veloz pode ser mais seguro justamente porque valida automaticamente grandes volumes de dados em etapas repetíveis.

A apresentação técnica do TSE também mostra o papel das filas de mensageria. Em linguagem de engenharia, elas funcionam como amortecedores: os pacotes podem chegar em grande quantidade, ser organizados e processados por módulos distintos sem exigir que todos os componentes trabalhem no mesmo ritmo. A arquitetura evita transformar o banco de dados em um único gargalo. Ainda assim, como reconhece a própria apresentação, os diagramas são uma visão esquemática e não substituem a análise de todos os controles físicos e operacionais.

4. A segurança é uma cadeia de camadas, não um único teste

Antes do pleito, entidades fiscalizadoras têm acesso aos sistemas eleitorais para inspeção e auditoria. O Teste Público de Segurança dos Sistemas Eleitorais, realizado no ano anterior, convida especialistas a executar planos de teste contra sistemas de geração de mídias, votação, apuração, transmissão, recebimento e auditoria. O objetivo não é produzir uma demonstração de que nenhum defeito existe; é criar uma oportunidade controlada para encontrar fragilidades e corrigi-las antes da eleição.

Esse detalhe é essencial. Se um investigador encontra um problema no teste, isso não significa automaticamente que uma eleição foi fraudada. Significa que o teste cumpriu sua função de revelar uma condição que precisa ser corrigida, documentada e novamente verificada. O TSE informa que, no ciclo de 2025, foram executados 29 planos de teste por 26 investigadoras e investigadores, em 64 horas de testes.

Depois das correções, ocorre o Teste de Confirmação. Em seguida, os programas são submetidos à assinatura digital e à lacração em cerimônia pública, com participação de entidades fiscalizadoras. Para 2026, o TSE informa que os códigos-fonte ficaram disponíveis para inspeção desde 2 de outubro de 2025 e que a cerimônia de assinatura e lacração se encerra em 4 de setembro de 2026. [6]
No dia da eleição, existe outra verificação: o Teste de Integridade. Urnas preparadas e lacradas são sorteadas publicamente, retiradas da votação normal e levadas a um ambiente de auditoria. Voluntários preenchem cédulas de papel com votos conhecidos; durante o horário oficial, esses votos são digitados nas urnas sorteadas, sob gravação e acompanhamento. Ao final, compara-se o resultado eletrônico com a contagem física das cédulas. Os votos do teste não entram no resultado oficial, e a seção de origem recebe uma urna de contingência.

O Teste de Integridade é uma verificação direta e didática da correspondência entre entrada conhecida e resultado produzido pela urna. Entretanto, ele não testa sozinho todas as camadas da eleição. Ele não substitui a inspeção do código-fonte, o exame da cadeia de compilação, a assinatura dos sistemas, a auditoria da transmissão, a totalização, a logística e a fiscalização posterior. É precisamente por isso que se deve falar em defesa em profundidade.

5. O que uma auditoria independente encontrou

O debate público melhora quando deixa de tratar o TSE como única voz autorizada. Em auditoria concluída em 2023, o Tribunal de Contas da União analisou as fases do sistema eletrônico de votação, da verificação das urnas à totalização, considerando segurança, confiabilidade, auditabilidade e transparência. O TCU acompanhou 1.163 boletins de urna no dia das eleições de 2022 e cruzou 6,3 milhões de informações de uma amostra de 4.577 seções, sem detectar divergências.

O resultado não deve ser transformado em propaganda de infalibilidade. O próprio TCU registrou recomendações de aperfeiçoamento, inclusive sobre dificuldades pontuais na leitura de QR Codes pelo aplicativo Boletim na Mão. A falha de leitura não produziu divergência nos dados, porque os boletins foram impressos e afixados, mas o episódio ilustra uma regra importante da engenharia: um sistema confiável também precisa aprender com problemas que não alteraram o resultado.

A literatura acadêmica acrescenta uma segunda cautela. Estudo publicado pela ACM analisou relatórios públicos de edições anteriores do Teste Público de Segurança e documentou vulnerabilidades e limitações metodológicas em versões passadas do sistema. O sentido desse achado não é afirmar fraude nas eleições; é mostrar que testes públicos podem encontrar problemas reais, que devem ser corrigidos, e que nenhum teste representa todos os cenários possíveis.

Outro estudo, publicado na revista científica Cadernos EBAPE.BR, trata da transparência e da accountability de algoritmos governamentais no caso da votação eletrônica brasileira. A contribuição é especialmente útil para a comunicação pública: transparência não é apenas abrir arquivos; é permitir que as pessoas compreendam como entradas, processos e saídas se relacionam.

6. Fake news: cinco afirmações e o que os dados permitem dizer

A desinformação eleitoral costuma aproveitar uma parte verdadeira, retirar o contexto e transformá-la em acusação. A resposta mais forte não é repetir slogans, mas reconstruir o mecanismo e indicar o limite da evidência.

A página oficial Fato ou Boato, mantida pela Justiça Eleitoral e alimentada também por instituições parceiras de checagem, reúne esclarecimentos sobre essas e outras narrativas. Ela é uma boa porta de entrada para o leitor, mas a recomendação jornalística continua válida: consultar a fonte primária, verificar a data e procurar a documentação original.

7. A engenharia precisa explicar seus limites

Defender a urna eletrônica não significa negar que sistemas complexos possam falhar. Significa comparar afirmações com evidências. A urna sem conexão de rede é um fato arquitetural; a assinatura digital é um controle; o Teste Público de Segurança é uma oportunidade de encontrar vulnerabilidades; o Teste de Integridade é uma verificação amostral e operacional; o TCU é uma camada externa de fiscalização. Cada elemento tem uma função, uma força e um limite.

A democracia se beneficia quando as instituições comunicam essas diferenças. Dizer que a urna é “100% inviolável” é uma má escolha de linguagem: cria uma promessa que a engenharia não pode garantir e oferece à desinformação um alvo fácil. Mais responsável é dizer que o sistema foi projetado com isolamento, assinaturas digitais, controles de inicialização, auditorias públicas, redundâncias, procedimentos de contingência e fiscalização externa — e que suas regras e resultados podem ser examinados por diferentes atores.

Minha conclusão é que a eleição brasileira não é confiável porque uma máquina “sabe” em quem votar. Ela é confiável na medida em que a sociedade consegue acompanhar uma cadeia de decisões e registros: o cadastro alimenta a preparação; a preparação configura a urna; a zerésima documenta o ponto de partida; o eleitor registra o voto; o BU torna o resultado local visível; a mídia assinada transporta os arquivos; os sistemas validam a origem e a integridade; a totalização soma os BUs; e as auditorias permitem confrontar o discurso com evidências.

É nessa cadeia — e não em vídeos virais, frases absolutas ou apelos à fé — que devemos procurar a engenharia das eleições. Em 2026, quando as campanhas disputarem nossa atenção, vale lembrar que também estará em funcionamento uma das maiores operações de confiabilidade e processamento de dados do país. Fiscalizá-la, compreendê-la e exigir que ela seja aprimorada não é desconfiar da democracia. É praticar cidadania com método.

*Joel Rodrigues dos Santos, engenheiro civil, especialista em Engenharia Ferroviária e MBA em Gestão de Negócios. Com mais de 25 anos de experiência em infraestrutura urbana, gestão pública e projetos de grande porte, atuou em empresas públicas de infraestrutura urbana de grande porte, como Gerente de Projetos em obras aeroportuárias, portuárias e offshore, e como Assessor da Câmara Municipal de Guarulhos. Com liderança em associações de classe de engenharia das mais diversas, dedica-se ao associativismo profissional e à democratização do conhecimento técnico. Sua atuação como colunista busca aproximar a engenharia do cotidiano da população, promovendo consciência urbana, participação cidadã e qualidade de vida nas cidades e valorização profissional.