Um trecho da entrevista do hacker Marcos Roberto Correia da Silva, preso em Minas Gerais em março de 2021 e investigado por ataques cibernéticos ao Tribunal Superior Eleitoral (TSE) durante as eleições municipais em 2020, voltou a circular nas redes sociais em março de 2022, com mais de 3.500 interações.
“TSE está apavorado com este vídeo. vamos repassar o máximo”, diz uma publicação no Twitter com a gravação, que tinha circulado inicialmente em julho de 2021, em que Marcos Roberto Correia faz afirmações sobre supostos vazamentos de dados de eleitores e vulnerabilidade de um sistema conectado à internet, além de comentar sobre falhas em urnas eletrônicas em uma conferência nos Estados Unidos.
O conteúdo também circula no Facebook, Instagram e YouTube.
A AFP consultou quatro especialistas em segurança cibernética e também o Tribunal Superior Eleitoral (TSE) a respeito dessas alegações.
Para os especialistas, os ataques online ocorridos durante as eleições municipais em 15 de novembro de 2020 demonstram vulnerabilidades no sistema web utilizado pelo TSE, mas isso não seria suficiente para alterar de maneira permanente os resultados eleitorais. Também destacam que a operação não poderia ser feita com a facilidade descrita no vídeo.
Jéferson Campos Nobre, professor do Instituto de Informática da Universidade Federal do Rio Grande do Sul (UFRGS), disse ao Checamos em 22 de março de 2022 que os métodos citados de ataques às urnas eletrônicas não são factíveis.
“Não são apresentadas verdadeiramente técnicas ou alguma expressão mais clara do que poderia ser um ataque em relação à urna. A urna tem sido atualizada, têm sido produzidas novas versões com mais capacidade de segurança e obviamente com uma cobertura cada vez maior em relação a possíveis ataques”, apontou Nobre.
Consultado pela AFP também em março de 2022, o TSE afirmou que a evolução dos mecanismos de segurança e integridade da votação se dá de forma constante. O órgão ressaltou que o ataque ao seu sistema de gestão de pessoas desencadeou uma série de ações de melhoria da cibersegurança dos sistemas publicados na internet, entre elas “uma melhor gestão de vulnerabilidades dos sistemas e suas plataformas”. O tribunal acrescentou, ainda, que o “hacker não realizou qualquer ataque sobre os sistemas eleitorais”.
Ainda de acordo com o TSE, um novo modelo de urna eletrônica será usado nas eleições de 2022: a UE2020. No entanto, ela não será empregada sozinha, mas “em conjunto com os demais modelos utilizados nas últimas eleições: UE2009, UE2010, UE2011, UE2013 e UE2015”.
O vazamento das eleições municipais de 2020
Dentre as afirmações feitas por Marcos Roberto Correia no vídeo viralizado, está a de que foi possível acessar dados de eleitores. “A falha fornece acesso ao banco de dados. O que tiver armazenado no banco de dados vai ser tudo capitulado. (...) Dos eleitores também”, diz, detalhando ter tido acesso a nome, CPF, voto, RG e dados biométricos dos votantes.
Em julho de 2021, o TSE negou essa alegação. “Diversamente do afirmado, não houve qualquer vazamento de informações de eleitores, mas apenas de informações administrativas do tribunal”, disse à AFP.
Segundo especialistas, ainda que o hacker tivesse conseguido acessar esses dados, seria impossível saber em quem um eleitor específico votou.
“Em nenhum momento a urna [eletrônica] salva a relação entre voto e eleitor. Isso nos testes públicos de segurança fica muito bem visto. Mesmo que alguém tivesse acesso a todas as bases de dados. Porque não existe no registro digital do voto a ligação entre o eleitor e o voto”, disse no mesmo mês Lucas Lago, mestre em engenharia da computação, pesquisador no Centro de Estudos, Sociedade e Tecnologia da Universidade de São Paulo e desenvolvedor no Projeto7c0.
O TSE também informou à AFP em julho de 2021 que, nas eleições de 2020, ocorreram dois tipos de ataques cibernéticos: “Os incidentes reportados, relativos a ataques ao sistema online do TSE (pela técnica SQL Injection) e tentativa de ataque de negação de serviço DDoS, foram divulgados pelo próprio TSE nas eleições de 2020 e são atualmente objeto de investigação pela Polícia Federal”.
Thiago Ayub, especialista em ataques DDoS, afirmou que o ataque com a primeira técnica mencionada, de SQL Injection, é um tipo de invasão cibernética por meio da qual um hacker se aproveita de campos digitáveis em um site para acessar de forma não autorizada um banco de dados.
“Todos os sites que acessamos, que têm algum campo em que digitamos nosso login e senha ou CPF, armazenam esses dados por trás da interface naquilo que chamamos de banco de dados. Imagine um site que pede o seu CPF. Mas, ao invés de digitar seu CPF, você digita um comando e faz o site te dizer todos os CPFs cadastrados no banco de dados. Ou seja, a partir de um site que te perguntou uma informação, você consegue inverter essa situação e fazer com que esse site te devolva outras informações - informações às quais você não deveria ter acesso”, explicou Ayub.
Já o ataque do tipo DDoS, ou de negação de serviços, é uma ação que tem como objetivo sobrecarregar um servidor, por meio de várias tentativas de acesso simultâneas.
Em 2014, o TSE já havia sofrido ataques desse tipo: o tribunal registrou 200 mil ataques de negação de serviço por segundo durante o fim de semana do primeiro turno das eleições gerais. Em 2020, no pleito municipal, o órgão identificou 486 mil conexões por segundo para tentar derrubar o sistema de totalização de votos - sem sucesso, de acordo com o tribunal.
De acordo com Ayub, esse é um tipo de ataque comum. “Entes do governo e empresas costumam receber ataques desse tipo por diversos motivos. Não inspira preocupação adicional o TSE sofrer esse tipo de ataque. (...) Agora, um ataque do tipo SQL Injection é algo muito básico. Um programador, mesmo iniciante, deveria colocar esse tipo de proteção. É como se fosse uma imperícia.”
Mas, ainda que evitáveis, segundo especialistas, nenhum desses ataques poderia ter adulterado o sistema das urnas eletrônicas - ao menos não de uma maneira direta e simples como a descrita no vídeo.
“O SQL Injection não poderia diretamente proporcionar adulterações na urna, pois ele ocorre no sistema diretamente injetado, ou seja, o sistema online (o site) do TSE. O DDoS também não poderia diretamente proporcionar essas adulterações, porque ele apenas deixa sistemas alvo do ataque offline, não proporciona qualquer leitura ou adulteração de dados”, afirmou Ayub.
“Agora, indiretamente, o SQL Injection poderia proporcionar a adulteração na urna? Indiretamente e antes do pleito, podemos imaginar cenários muito difíceis e que exigiriam um somatório de fatores, vulnerabilidades e brechas para se chegar à urna. Então sim, seria deveras improvável, mas sim, seria possível. Mas não durante a votação em si”, acrescentou à AFP.
A votação poderia ser manipulada via internet?
“Minha base é que tudo conectado à internet é vulnerável”, afirma, ainda, o hacker durante a entrevista viralizada.
Paulo Lício de Geus, representante da Sociedade Brasileira de Computação nos testes públicos de segurança do TSE e professor do Instituto de Computação da Universidade Estadual de Campinas (Unicamp), explicou à AFP em julho de 2021 que o resultado das urnas é transferido aos servidores dos Tribunais Regionais Eleitorais (TREs) e ao do TSE por uma rede fechada (VPN), à qual somente a Justiça Eleitoral tem acesso: “É como se fosse uma internet própria do TSE, separada da mundial”.
“Porém, se um hacker conseguisse penetrar previamente dentro da rede do TSE, talvez fosse possível agir durante o processo de totalização, embora eu duvide, pois essa rede do TSE fica normalmente desconectada da internet. Um hacker teria que estar pilotando uma máquina do próprio TSE fisicamente, pois não seria possível fazê-lo durante a totalização por via remota”, adicionou.
O TSE acrescentou em nota à AFP que, “mesmo na improvável hipótese de acesso indevido às redes da Justiça Eleitoral e violação de todas as diversas barreiras de segurança, não seria possível alterar os resultados da eleição impressos pela urna eletrônica” nos boletins de urna. O tribunal explicitou que “os equipamentos nos quais são executadas as totalizações do país existem fisicamente no TSE, com acesso restrito”.
Lago explicou que boa parte do processo que seria necessário para manipular as urnas eletrônicas provavelmente iria exigir acesso físico aos flash cards que são usados para instalar as urnas ou ao equipamento em si:
“É difícil pensar em todas as possibilidades de ataques, mas boa parte deles exigiria uma pessoa próxima fisicamente às urnas”.
Urnas eletrônicas hackeadas nos EUA
Em outro trecho da entrevista, Marcos Roberto Correia também afirma que hackers nos Estados Unidos demonstraram que as urnas eletrônicas possuem brechas de segurança: “Em uma conferência de hackers, chamada DefCon, já comprovaram que existem, sim, falhas de cibersegurança nas urnas eletrônicas”.
A afirmação está parcialmente correta. A DefCon é uma conferência anual de hackers que ocorre em Las Vegas, nos Estados Unidos. De fato, o evento reserva um espaço para discussões e testes relacionados à tecnologia eleitoral empregada nos EUA, que ocorrem no chamado DefCon Voting Village. No entanto, o TSE afirmou que em nenhuma edição da conferência urnas brasileiras foram testadas e invadidas.
Em 2017, o tribunal enviou dois técnicos para acompanhar os trabalhos da Voting Village. “Essa foi a única presença do TSE no evento. Em nenhuma edição as urnas brasileiras foram submetidas a análise na Voting Village”, disse o TSE em nota enviada em julho de 2021, cujo conteúdo foi reiterado pelo tribunal em março de 2022.
Ainda de acordo com o órgão, um dos motivos para acompanhar a DefCon à época era aprimorar o Teste Público de Segurança (TPS), no qual especialistas em tecnologia tentam burlar as barreiras de proteção da urna eletrônica e invadir sistemas a ela vinculados.