Não há meio eficaz de impedir ou detectar este tipo de fraude – antes, durante, ou depois da votação. Em particular, não existe teste ou perícia que garanta que o software que está (ou estava) rodando na urna durante a eleição é (ou era) o que deveria estar lá. Todas as medidas que supostamente garantem a integridade do software, inclusive assinaturas digitais conferidas por programas de fiscais, podem ser facilmente burladas por técnicas que qualquer autor de vírus conhece.
Tudo o que é preciso para perpetrar uma fraude desse tipo é uma cópia do software legítimo (mesmo que em binário), um exemplar (ou réplica) da urna para testes, um bom hacker, e um agente (cúmplice ou coagido) em posição estratégica na cadeia de distribuição do software: dentro do TSE, de algum TRE, ou de uma das empresas contratadas. A cumplicidade do governo federal ou da cúpula da justiça com a fraude facilitaria muito este último item, mas ela não é necessária. Nem o candidato favorecido, nem seu partido precisam saber da fraude. O custo de tal operação seria ínfimo comparado com os interesses em jogo em qualquer eleição.
Essa é uma fragilidade inescapável de qualquer urna inteiramente digital (de "primeira geração"), como a urna usada pelo TSE desde 1996. O cenário de fraude acima foi demonstrado inúmeras vezes com outras urnas dessa classe, em outros países. Isso ainda não foi feito com o modelo exato de urna usada pelo TSE apenas porque, pela lei brasileira, é um crime a reprodução, posse, ou manuseio da urna oficial por pessoas não autorizadas – e o TSE nunca autorizou pessoas "não amigas" a realizar esse tipo de teste. (Na Índia, único país que ainda usa um sistema de votação semelhante ao nosso, um pesquisador foi recentemente preso for fazer uma demonstração dessas.)
Desconfiar da urna eletrônica é paranoia e/ou burrice.
A insegurança incurável das urnas totalmente digitais não é uma conclusão minha, nem do CMInd, nem de todos os especialistas em computação que assinaram o "Manifesto dos Professores" de 2003, nem dos parlamentares brasileiros que aprovaram o voto impresso a partir de 2014. É a conclusão de praticamente todos os estudos independentes feitos sobre a segurança desse tipo de urna, no mundo inteiro, por comitês e órgãos de competência indiscutível (como o NIST americano, correspondente ao INPM brasileiro). Muitos desses estudos podem ser encontrados na internet a partir do sitio do Voto Seguro. Essas conclusões não são meras "afirmações de autoridade" (como são as afirmações do TSE), mas sim resultado de análises técnicas e demonstrações exaustivamente detalhadas nos respectivos relatórios, que qualquer um pode baixar e ler.Por conta desses estudos, nos últimos cinco anos, o mundo inteiro já se convenceu de que, com urnas totalmente digitais, o risco de fraude em massa é real e inaceitável. Vários países que haviam adotado esse tipo de urna já trocaram ou estão trocando por sistemas auditáveis – com comprovante material de voto, ou mesmo para o velho sistema em papel.
A gente confia em caixa eletrônico, porque não na urna eletrônica?
De fato, seria fácil programar um caixa eletrônico para roubar dinheiro ou senhas dos usuários, de inúmeras maneiras. (Tente buscar "chupa-cabra" "caixa eletrônico" no Google para ter um vislumbre das possibilidades...) Tal como no caso da urna, uma fraude em caixas eletrônicos pode em tese ser feita por um único funcionário bem colocado na área de TI do banco, à revelia do mesmo; e pode afetar todos os caixas do banco.Porque clientes de bancos não se assustam com esse risco?
Primeiro, porque cada cliente pode descobrir saques fraudulentos na hora, conferindo seu extrato.
Segundo, porque os extratos podem ser impressos, a operação de saque pelo cliente pode ser filmada e testemunhada, e o dinheiro eventualmente precisa ser materializado para completar a fraude (alguém tem que ir em pessoa ao caixa para retirar as cédulas, ou alguém precisa receber a mercadoria comprada com o dinheiro desviado). É nessa conexão inevitável entre o virtual e o material que o ladrão pode ser pego em flagrante, e que a polícia pode obter provas que podem ser usadas no tribunal.
Finalmente, os clientes confiam que o banco vai estar do lado deles em questão de fraude: eles acreditam que o banco não tem interesse em cometer fraudes, que ele se esforça para evitá-las, e que ele vai dar crédito de confiança no cliente em caso de dúvida. (Note que se o extrato também for adulterado para esconder o saque fraudulento, então o ladrão está roubando o banco, e não o cliente!)
Infelizmente, na urna eletrônica do TSE, não existe nenhum desses três ingredientes de segurança.
Nunca houve provas ou indícios de fraude nas eleições eletrônicas.
INDÍCIOS de fraude houve aos montes. Em toda eleição há candidatos jurando que sua votação foi muito abaixo do esperado.PROVAS nunca houve e nunca haverá, porque o projeto da urna do TSE é "à prova de provas". Durante todo o dia da eleição, os votos só existem dentro da urna, na forma de sinais elétricos. Como programas podem ser apagados sem deixar rastros, e dados digitais podem ser alterados sem deixar rasuras, é absolutamente impossível descobrir o que aconteceu com esses votos entre a digitação pelo eleitor e a impressão dos totais no fim do dia.
Os resultados saem muito rapidamente e não há tempo para fraudar.
Isso pode ser um argumento (bem fraco) para desconsiderar a possibilidade de fraudes na totalização. Mas a fraude que preocupa é a que acontece automaticamente dentro da urna, antes da impressão dos boletins de urna e envio dos dados ao TSE. ESSE tipo de fraude leva menos de um milionésimo de segundo.Uma fraude seria revelada pelas pesquisas independentes de voto.
Quem acompanhou estas eleições sabe que há diferenças de 5% ou mais entre as pesquisas de institutos diferentes feitas na mesma data. (A "margem de erro" divulgada pelos institutos é apenas o erro mínimo, que se espera se a pesquisa for feita corretamente. Ela não leva em conta eventuais erros de execução da pesquisa, muito menos distorções intencionais.)Portanto, uma fraude pode desviar 5% de votos sem dar muito na vista. Se as urnas deram "49% x 51%" enquanto as pesquisas de véspera davam "53% x 47%", ninguém vai poder concluir que houve fraude.
Mesmo diferenças maiores que 5% podem ser facilmente "explicadas" como viradas de opinião de última hora, por exemplo se um escândalo foi noticiado na TV depois da última pesquisa. (Se bem que o histórico das últimas semanas leva a crer que notícias de escândalos na TV tem pouco efeito nas escolhas dos eleitores.)
A quem interessa criar alarmismo em relação ao processo eleitoral, na véspera da eleição?
Uma fraude interna pode ser feita a favor de qualquer lado, governo ou oposição; e inclusive sem o conhecimento do partido ou candidato beneficiado. Portanto este risco afeta todos os eleitores e todos os candidatos, em todas as eleições.Os críticos da urna do TSE estão apontando esse problema sem parar, praticamente desde que a urna foi introduzida. Eu mesmo tenho dado dezenas de entrevistas e depoimentos (Inclusive no congresso, ao lado do Amilcar Brunazo e outros especialistas) há uns dez anos. Infelizmente, o público só se interessa pelo assunto na véspera da eleição, quando é muito tarde para fazer algo a respeito.
A fragilidade das urnas digitais e a troca das mesmas por sistemas com voto material tem gerado dezenas de notícias com destaque nos maiores jornais do mundo todo, como o New York Times e o Wall Street Journal (há uma amostra delas no sítio acima). Porém, nenhuma dessas notícias foi reproduzida pelos grandes jornais brasileiros. Com poucas e honradas exceções, os jornais e TVs brasileiras tem omitido as críticas e dado a última palavra ao TSE – para quem a urna é 1000% segura, e os críticos são um punhado de incompetentes, paranoicos, ou coisa pior. Posso até entender porque: se uma reportagem convencer milhões de eleitores de que a urna do TSE é fraudável, o jornal corre o risco de ser processado pelo TSE por alarmismo ou sei lá o quê – e quem vai julgar tal processo, em todas as instâncias, é o próprio TSE.
A urna biométrica vai proteger contra esse tipo de fraude?
Não.O uso de identificação biométrica nas urnas visa solucionar OUTRO tipo de fraude que a urna da JEB permite: a fraude de identidade, em que uma pessoa vota no lugar de outra. A biometria não dá absolutamente nenhuma proteção contra fraudes por adulteração do software, descritas acima; nem contra outros tipos de fraude que a urna também permite, como a violação do sigilo de voto.
Há rumores persistentes de que a fraude de identidade ainda é corriqueira nas eleições brasileiras, com pessoas votando no lugar de eleitores falecidos, parentes ou empregados. Paradoxalmente, o próprio TSE facilitou enormemente este tipo de fraude ao eliminar a foto do título de eleitor. Porém, o fator que mais contribui para este risco é a falta de confiança que a JEB tem nos mesários e fiscais eleitorais, que são muitas vezes indicados ou ligados a políticos locais. Em particular, alega-se que em muitas regiões do país os mesários costumeiramente "fecham" a eleição votando no lugar dos eleitores ausentes, repartindo os votos conforme acordos políticos pré-estabelecidos.
Em tese, a adição da biometria à urna deveria deveria impedir este tipo de fraude. Porém, na prática ela não consegue nem mesmo isso. Uma vez que a identificação de impressões digitais ainda está sujeita a falhas por motivos legítimos (feridas, desgaste, etc.), as urnas biométricas da JEB ainda permitem que o mesário desbloqueie a urna mesmo quando ela não reconhece as digitais do eleitor. Portanto, a fraude de identidade – pelos mesários, ou com sua conivência – vai continuar possível.
No máximo, a urna biométrica pode limitar a magnitude da fraude. Se a ata de uma seção indicar que um mesário usou desse mecanismo de escape dezenas de vezes, os partidos prejudicados podem desconfiar de fraude. Porém, é improvável que o TSE aceite tal anomalia como prova de fraude, mesmo que chegue a 50% ou mais dos eleitores da seção. Por outro lado, se esse artifício for usado apenas em 5% dos casos, a fraude provavelmente passará desapercebida. Note que 5% de votos fraudados em um punhado de urnas poderiam inverter o resultado de muitas eleições municipais.
Se os mesários e os fiscais da JEB fossem honestos, e fizessem seu trabalho com atenção e seriedade, este tipo de fraude seria muito difícil, e os riscos para os fraudadores seriam muito sérios. (Porém, nesse caso a urna eletrônica – que foi introduzida em 1996 justamente para acabar com a fraude eleitoral – não seria necessária! Com mesários e fiscais honestos, a votação em papel seria mais segura que a eletrônica, a apuração seria igualmente rápida, e o sistema seria infinitamente mais barato...)
A decisão de introduzir a biometria nas urnas da JEB (que, para variar, foi tomada pelos técnicos da JEB sem discussão prévia pela sociedade) é um exemplo de um erro cometido por muitos administradores, públicos e privados: tentar resolver um problema administrativo ou social – no caso, a corrupção de baixo nível dentro da própria JEB – por uma solução puramente tecnológica. A experiência mostra que isso nunca funciona.
O que é possível fazer para evitar esse tipo de fraude?
Infelizmente, a estas alturas não há muito o que fazer. Os eleitores devem estar atentos a resultados que destoam das previsões, mas (como observado acima) tais diferenças servem apenas para levantar suspeitas, e não como provas.Por outro lado, uma fraude interna pode ser comprovada se, por sorte, o fraudador cometer um erro ao programar, e o resultado ficar visivelmente inválido (por exemplo, se a urna exibir a foto do candidato errado, ou der um número absurdo de votos para um candidato inexpressivo). Portanto, os eleitores e fiscais devem ficar atentos para qualquer comportamento estranho das urnas, ou coisas estranhas nos boletins e logos impressos por ela.
Aliás consta-me que, para a eleição de 2010, o TSE está orientando os mesários a NÃO entregar copias dos boletins de urna aos fiscais de partido. Se essa informação é verdadeira, então não sei o que dizer.
Por Jorge Stolfi – 26 de Setembro de 2010
Fonte: ic.unicamp.br