Urna Eletrônica Pode Ser Hackeada? O Que os Testes do TSE Mostram (2026)

Toda eleição, o mesmo vídeo circula de novo no grupo de família do WhatsApp: alguém jurando que descobriu como fraudar o resultado, às vezes com um print de código, às vezes só com a palavra de um “especialista” que ninguém consegue identificar. A pergunta por trás disso sempre volta: urna eletrônica pode ser hackeada?

A resposta curta, baseada nos testes públicos que o TSE roda desde 2009, é que ataque remoto está fora de questão — a urna nunca se conecta à internet, ao wi-fi ou ao bluetooth durante a votação — e um ataque físico que burlasse lacre, assinatura digital e auditoria de código-fonte ao mesmo tempo, sem ser pego em nenhuma das mais de 40 camadas de fiscalização, nunca foi demonstrado em teste real.

2026 é ano eleitoral, e isso não é coincidência de calendário: o TSE rodou uma nova rodada de testes públicos de segurança em dezembro de 2025 e outra em maio de 2026, chamando pesquisadores de fora da própria Justiça Eleitoral pra tentar invadir o sistema de verdade.

Eu passei pelos boletins técnicos dos dois ciclos, cruzei com o teste mais detalhado já publicado (2021, com 29 planos de ataque distintos) e separei aqui o que é mecanismo real de segurança, o que já foi encontrado como falha corrigida, e o que ainda é discussão legítima — sem viés político, só o que está documentado.

Como a Urna Decide o Que Aceitar e o Que Rejeitar

O ponto de partida de qualquer segurança de software eleitoral é simples de enunciar e chato de implementar bem: o programa que roda na urna no dia da votação precisa ser exatamente o mesmo que foi auditado meses antes, nem um byte diferente. É aí que entram assinatura digital e hash. Hash é um número gerado matematicamente a partir do conteúdo de um arquivo — mude uma vírgula no código, o hash muda inteiro, de forma imprevisível. Antes da eleição, o programa oficial recebe um hash de referência e uma assinatura digital criptográfica da Justiça Eleitoral.

Na prática, isso significa que a urna, ao ligar, recalcula o hash do software que está instalado nela e compara com o valor assinado digitalmente que ela já trouxe de fábrica. Se alguém trocasse um arquivo por uma versão maliciosa — mesmo um pendrive plugado localmente —, o hash recalculado não bateria com a assinatura, e o equipamento simplesmente recusaria rodar.

Essa é a primeira camada, e ela já elimina a categoria mais comum de ataque que aparece em vídeo de WhatsApp: “alguém trocou o programa da urna por um hackeado”. Pra isso funcionar sem ser burlado, teria que haver conluio com acesso às chaves privadas da assinatura — algo que nenhum teste público já demonstrou ser viável. É por isso que, nessa camada específica, dizer que uma urna eletrônica pode ser hackeada trocando o software exigiria quebrar criptografia assimétrica, não só ter acesso físico ao equipamento.

Por Que um Ataque Remoto Está Fora de Questão

A segunda camada é mais simples de explicar e, ironicamente, a que mais gera dúvida: a urna não tem placa de rede, wi-fi ou bluetooth habilitados durante a votação. Ela não está — e fisicamente não pode estar — conectada à internet enquanto o eleitor vota. Isso elimina de cara qualquer cenário de “hacker invadindo de fora”, porque não existe canal de rede pra esse hacker alcançar durante o processo mais sensível, que é o registro do voto em si. Quem defende que urna eletrônica pode ser hackeada remotamente, à distância, parte de uma premissa que o próprio hardware do equipamento não permite.

A transmissão só acontece depois que a urna já foi encerrada localmente, com o Boletim de Urna (BU) já impresso e assinado digitalmente com a chave daquele equipamento específico — cada urna tem a própria chave, não uma chave compartilhada entre todas.

Mesmo esse envio final usa criptografia na camada de transmissão, e o BU impresso na seção eleitoral já é a fonte de verdade que qualquer fiscal pode comparar com o que chega ao TSE depois, incluindo via QR code no próprio boletim. Um ataque de rede, se existisse, teria que interceptar e alterar um pacote já assinado digitalmente sem invalidar a assinatura — o mesmo problema matemático da primeira camada.

Urna Eletrônica Pode Ser Hackeada? O Que os Testes Reais Já Mostraram

Teoria é uma coisa; teste público, outra. Desde 2009 o TSE convida hackers, universidades e partidos pra tentar provar, de verdade, que uma urna eletrônica pode ser hackeada — com acesso à máquina, ao código-fonte e a um prazo fixo, igual um pentest contratado. O ciclo mais detalhado e documentado publicamente até hoje é o de 2021: 26 especialistas inscreveram 29 planos de ataque diferentes.

Vinte e quatro não conseguiram passar da primeira barreira. Cinco avançaram parcialmente — coisas como acoplar um painel físico extra ou tentar desembaralhar a ordem dos votos no extrato impresso — mas nenhum desses cinco chegou a comprometer o resultado ou violar o sigilo do voto, segundo o próprio balanço técnico do tribunal.

Os ciclos de 2025 e 2026 seguiram o mesmo formato, agora com foco extra em verificar se as recomendações dos testes anteriores foram de fato implementadas. O TSE reportou, em ambos, que não foram encontradas inconsistências relevantes nem falhas graves.

O que isso significa na prática: o dado técnico público, auditável por qualquer um dos oito tipos de entidade fiscalizadora credenciada (Senado, Ministério Público Federal, Controladoria-Geral da União, Sociedade Brasileira de Computação, OAB, partidos e outras), continua sendo o mesmo desde 2009. O código-fonte fica disponível pra inspeção dessas entidades antes da eleição, dentro de um calendário formal — não é caixa-preta fechada, mesmo que pareça pra quem nunca acompanhou o processo.

A Camada Que Pouca Gente Conhece: Zerésima e Votação Paralela

Duas camadas de segurança que quase nunca aparecem nos vídeos virais, mas que resolvem boa parte da desconfiança de quem pergunta como ter certeza de que a urna realmente começou zerada. A primeira é a zerésima: um documento impresso na própria seção eleitoral, antes de qualquer voto, comprovando que o contador de votos está em zero para todos os candidatos — assinado pelos mesários e por qualquer fiscal de partido presente, que pode levar uma cópia pra casa.

A segunda é o teste de integridade por amostragem, também chamado de votação paralela: no próprio dia da eleição, urnas sorteadas aleatoriamente recebem uma votação controlada, com cédulas de papel preenchidas segundo um roteiro público, e o resultado em papel é comparado em tempo real com o que a urna registrou eletronicamente.

Essa combinação — hash e assinatura antes, isolamento de rede durante, zerésima e BU documentando o início e o fim, votação paralela auditando por amostra — é o que a literatura de segurança chama de defesa em profundidade: nenhuma camada sozinha é perfeita, mas um ataque real precisaria furar várias delas ao mesmo tempo, sem deixar rastro em nenhuma, pra que se pudesse afirmar com base técnica que urna eletrônica pode ser hackeada sem ser notada. É o mesmo raciocínio por trás do modelo zero trust que virou padrão em segurança corporativa — não confiar em uma única barreira, nunca.

Minha Conclusão sobre a Segurança da Urna

Depois de passar pelos boletins de 2021, 2025 e 2026, minha conclusão é direta: os mecanismos técnicos documentados são reais, públicos e auditáveis por entidades que não têm interesse em esconder falha — e nenhum teste até hoje demonstrou um ataque bem-sucedido ao sistema de votação em si. Isso não significa ausência de pontos legítimos de debate (o modelo de voto impresso, por exemplo, segue sendo discutido no Congresso), mas é diferente de dizer que urna eletrônica pode ser hackeada sem evidência técnica que sustente isso.

Essa lógica de múltiplas camadas, nenhuma confiável isoladamente, é a mesma que expliquei com mais profundidade no artigo sobre Zero Trust e como aplicar na prática.

A desinformação em ano eleitoral também anda de mãos dadas com outro problema que já virou rotina: vale a pena entender como funciona a fraude com deepfake, porque boa parte dos vídeos que “provam” fraude na urna usa a mesma técnica.

A assinatura digital que protege o software da urna é prima do mesmo princípio criptográfico que sustenta os passkeys na autenticação sem senha — matemática assimétrica fazendo o trabalho de confiança que senha nenhuma faz tão bem.

Vale lembrar, também, que a criptografia de hoje tem prazo de validade: já expliquei por que a computação quântica é uma ameaça real à criptografia atual, e sistemas de longa duração como o eleitoral entram direto nesse radar de planejamento.

Ainda não sabe qual área de segurança seguir? Compare GRC, SOC ou pentest antes de decidir.

Pra quem quer ler direto da fonte, sem intermediário, o TSE publica a explicação oficial completa em por que a urna eletrônica é segura.

Perguntas Frequentes sobre a Segurança da Urna Eletrônica

Urna eletrônica pode ser hackeada remotamente?

Não. A urna não tem conexão de rede, wi-fi ou bluetooth habilitada durante a votação, então não existe canal remoto disponível pra esse ataque acontecer no momento em que o voto é registrado.

Quem fiscaliza o código-fonte da urna?

Oito tipos de entidade credenciada, incluindo Senado, Ministério Público Federal, Controladoria-Geral da União, Sociedade Brasileira de Computação, OAB e partidos políticos, dentro de um calendário formal de inspeção antes de cada eleição.

O que é a zerésima?

É o documento impresso na seção eleitoral, antes do primeiro voto, provando que o contador da urna está zerado para todos os candidatos — assinado por mesários e fiscais presentes.

Os testes de 2026 encontraram alguma falha grave?

Não, segundo o balanço oficial do TSE para os ciclos de dezembro de 2025 e maio de 2026, que reportaram ausência de inconsistências relevantes — o teste mais detalhado publicamente até hoje continua sendo o de 2021, com 24 de 29 planos de ataque bloqueados na primeira barreira e nenhum comprometendo o resultado.