“O voto eletrônico no Brasil é altamente vulnerável a fraudes”

Amanhã, dia 6, será realizada uma audiência pública na Comissão de Constituição e Justiça do Senado Federal para debater a segurança da urna eletrônica e o voto impresso. Foram convidados para participar do evento o ministro do Supremo Tribunal Federal (STF) e presidente do Tribunal Superior Eleitoral (TSE), Luiz Fux, o procurador Humberto Medeiros, o professor do Departamento de Teoria da Computação da Unicamp Diego Aranha e o engenheiro especialista em segurança de dados e em sistema de voto eletrônico Amílcar Brunazo Filho.

A audiência vem a reboque dos questionamentos sobre o modelo de voto eletrônico utilizado no Brasil e do pedido feito pela procuradora-geral da República, Raquel Dodge, para que o STF suspenda a implantação do voto impresso para a eleição deste ano conforme estabelecido pela minirreforma eleitoral sancionada em 2015.

Na semana passada, inclusive, o ministro Fux solicitou a ampliação do prazo para fornecer as informações sobre o voto impresso que foram solicitadas pelo ministro Gilmar Mendes, que é o relator de ação ajuizada no STF pela procuradora-geral.

A desconfiança sobre o voto eletrônico no Brasil, que antes era restrita a técnicos da área, vem ganhando dimensão cada vez maior dentro da sociedade. Para entender os aspectos técnicos do problema, conversei com o engenheiro Amílcar Brunazo Filho, que vem se dedicando há anos ao assunto e integra o Comitê Multidisciplinar Independente, entidade integrada por especialistas em tecnologia da informação com a finalidade de analisar sistemas eletrônicos de voto.

Na conversa reproduzida abaixo, Amílcar afirmou que a votação eletrônica no Brasil não é confiável. E não é confiável porque altamente vulnerável à fraudes internas que possam vir a ser cometidas por quem tiver acesso à programação e ao preparo das urnas. O voto eletrônico também é vulnerável a fraudes externas cometidas por pessoas de fora do TSE, mas num grau menor.

Além de o sistema não ser seguro, o TSE, que deveria ser o maior interessado em demonstrar que o sistema eletrônico é confiável, faz o que pode para impedir auditorias independentes.

Integrante de um grupo de especialistas que em 2014 tentou realizar uma auditoria especial no sistema eleitoral eletrônico, Amílcar contou por qual razão a análise técnica não foi completa, opinou sobre a postura do TSE em face de auditorias independentes, analisou o pedido de Raquel Dodge para que o STF derrube a obrigatoriedade de impressão de votos pelas urnas eletrônicas, e forneceu informações sobre a empresa venezuelana Smartmatic.

Quando perguntei se ele confiava tecnicamente no voto eletrônico utilizado no Brasil, Amílcar foi enfático: “a trust (confiança) das urnas brasileiras é zero”.

Desde as eleições de 1996 há suspeitas de fraudes na votação eletrônica no Brasil. Em 2010, o professor de Ciência da Computação da Unicamp Jorge Stolfi afirmou que era possível fraudar o software da urna para desviar votos de um candidato para outro. Em 2012, pesquisadores da Universidade de Brasília (UnB) encontraram brechas de segurança no software das máquinas e alertaram para o perigo constante de fraude em larga escala e sem possibilidade de detecção. Num teste público realizado em 2017, um grupo de investigadores encontrou três falhas e conseguiu invadir o sistema. Apesar disso, o coordenador de sistemas eleitorais do Tribunal Superior Eleitoral (TSE), José de Melo Cruz, tentou minimizar o problema. Afinal, dá ou não dá para confiarmos na votação eletrônica usada no Brasil?

As urnas eletrônicas brasileiras, sem voto impresso, ainda são da primeira geração de equipamentos eletrônicos de votação que começaram a ser usados, mundo afora, em 1991. A partir de 2002, esse modelo começou a ser abandonado e substituído por modelos de segunda geração, com materialização do voto (voto impresso ou escaneado), para permitir auditoria externa independente no software do próprio equipamento. O Brasil é o único pais que ainda não fez essa migração.

No teste público de 2017, a equipe dos professores Diego Aranha (Unicamp) e Paulo Matias (UFSCar) encontrou falhas de segurança no software que perduravam desde 2002 e conseguiu até injetar adulteração no software das urnas. Por isso, eu não consigo confiar nas urnas brasileiras de primeira geração.

Em 2014, você foi um dos profissionais que realizou uma auditoria especial no sistema eleitoral de 2014. A auditoria revelou dois problemas graves. O primeiro é que o sistema eleitoral informatizado brasileiro não permite auditoria completa e independente. Recentemente, a procuradora-geral, Raquel Dodge, pediu ao STF para derrubar a obrigatoriedade de impressão dos votos pelas urnas eletrônicas. Por qual razão não se pode fazer essa auditoria independente? Do que os ministros do TSE e procuradora-geral da República têm medo?

Éramos dez profissionais em TI (além de dois outros que o TSE não permitiu participarem) naquela auditoria. Quem, de fato, não quer que o sistema eleitoral seja auditado de forma eficaz e independente são os funcionários efetivos da administração eleitoral, mais especificamente da área de TI, que controlam todas as etapas do processo desde a concepção do projeto, seu desenvolvimento, sua regulamentação, sua implementação, sua operação e até o que pode ou não ser auditado (auditoria não independente). Os ministros do TSE têm mandato temporário e acabam se submetendo à pressão dos funcionários de carreira que preferem que não haja auditorias eficazes para que seus eventuais erros (e possíveis fraudes) não sejam descobertos.

A Procuradoria Geral Eleitoral, infelizmente, tem sido altamente conivente e omissa na função de avaliadora externa do desempenho dos administradores das eleições que, em última instância, são os ministros do TSE. Acredito que isso decorra de sua outra função, que é ser parte em ações eleitorais onde os ministros do TSE são os juízes. Para não desagradar os juízes de suas causas, eles pegam leve com os administradores (os próprios juízes).

É um termo forte, mas para mim parece que, como fiscais das eleições eletrônicas, o Ministério Público tem se comportado mais como capacho do TSE.

O segundo problema sério identificado na auditoria da qual você participou é que a etapa de votação e apuração dos votos feitos nas urnas eletrônicas não pôde ter a sua confiabilidade verificada devido às severas restrições impostas pela autoridade eleitoral. Por que o TSE não permitiu a coleta dos dados diretamente das mídias de memória das urnas eletrônicas?

Os motivos alegados eram inúmeros, mas era dissimulação. O motivo real é óbvio: poderíamos encontrar provas de mau funcionamento ou adulteração do software das urnas. O TSE impôs tantas restrições à auditoria que tiveram por efeito torná-la inconclusiva.

E essas suspeitas que existem em relação à empresa venezuelana Smartmatic? Li um artigo do general venezuelano Carlos Julio Peñaloza, ex-comandante geral do Exército da Venezuela, que depois teve de fugir para Miami, em que ele dizia que a empresa venezuelana Smartmatic, contratada pelo TSE para as eleições de 2014, “foi o cavalo de Troia desenhado pelo governo de Fidel Castro” e que tinha como objetivo inicial “controlar o sistema eleitoral venezuelano desde Havana para potencializar o carisma e popularidade de Chávez”.

De fato, desde 2004 a empresa Smarmatic sempre esteve “coligada” com o CNE [órgão eleitoral] da Venezuela. Também é citada em algumas denuncias de fraudes fora da Venezuela. Ela tomou a decisão de participar do processo eleitoral de qualquer país, principalmente na América Latina, fornecendo o que for possível e disponível, desde urnas eletrônicas (Venezuela e Equador), contagem de votos manuais (Argentina), pessoal para limpeza e preparação das urnas (Brasil) etc. Agora entrou na concorrência para fornecer as impressoras do voto no Brasil. Acabou sendo desclassificada depois de muita pressão popular contra a sua proximidade com o TSE.

De 0 a 10, quão confiável é o sistema por votação eletrônica no Brasil?

Em inglês, se usa duas palavras com conceitos diferentes, para falar de confiabilidade: confidence e trust.

Confidence se refere à confiança subjetiva, pessoal. A minha confidence no sistema eleitoral eletrônico brasileiro é 2.

Trust se refere à confiança técnica, calculada objetivamente por critérios estabelecidos em normas técnicas públicas. O relatório da auditoria especial (externa) da eleição de 2014 mostrou que o desenvolvimento das urnas do TSE não atende nenhuma norma técnica nacional ou internacional de segurança de sistemas informatizados. Então, a trust das urnas brasileiras é zero.

A quais tipos de fraudes o atual sistema eleitoral brasileiro está sujeito?

Nessa auditoria externa de 2014, foi apresentada uma detalhada análise de risco de fraudes no sistema eleitoral brasileiro. A conclusão é que o sistema apresenta alguma resistência a fraudes externas, mas que é altamente vulnerável a fraudes internas (perpetradas pelo pessoal que tem acesso à programação e preparo das urnas) que modifiquem o software das urnas de maneira que não sejam detectadas pelas auditorias oficiais permitidas pelo TSE.

Se um partido, grupo ou candidato quiser fraudar a eleição, consegue?

Sim, mas fica bem mais fácil se houver conluio com as “pessoas certas” da administração do processo eleitoral eletrônico.

Em que parte do processo eletrônico ele terá de agir?

O ataque ao software das urnas, por exemplo, durante a preparação dos programas ou durante a carga das urnas apresenta dificuldades, mas, se efetivado, dificilmente será detectado. Já um ataque à totalização dos votos nos computadores dos Tribunais Eleitorais é mais fácil de realizar, mas também mais fácil de ser descoberto.

Hoje em dia, qual seria o melhor sistema de votação para reduzir ou evitar fraudes numa eleição? Urna eletrônica com voto impresso ou o antigo voto manual?

Já existem equipamentos de segunda até quarta geração, todos com materialização do voto de alguma forma. Eu gosto do sistema de terceira geração, da Boleta Electrónica, que já foi testado em algumas províncias da Argentina, Bolívia e Equador.

O voto manual, anterior às urnas eletrônicas, só deveria ser usado quando o sistema eletrônico com voto impresso falhar e não tiver como ser substituído.

Mas eu apoio a interpretação, recentemente apresentada por alguns movimentos, de que em seções eleitorais onde o TSE não conseguir instalar urnas com o voto impresso, como manda a lei, se deveria usar o voto manual e não urnas sem voto impresso porque estas não estão aptas a atender a lei e nem ao princípio da publicidade.