El fraude en dos tiempos: cómo el sistema puede mentir sin dejar rastro

 I. La pregunta que nadie puede responder

¿Qué garantía tiene un ciudadano de que su voto fue contado como él lo emitió? ¿Qué certeza tiene un fiscal de que los resultados que firma son los que realmente ocurrieron? ¿Qué prueba tiene un partido político para impugnar una elección si sospecha que algo anduvo mal?

La respuesta, en el diseño actual del sistema de votación electrónica paraguayo, es inquietante: ninguna. No porque el sistema sea necesariamente fraudulento, sino porque las condiciones para verificar su honestidad nunca fueron concedidas.

Los auditores de todos los partidos políticos documentaron, en febrero de 2026, que no se les permitió auditar en condiciones auténticas. Sin acceso root, sin poder copiar el código, sin tiempo suficiente, sin poder probar el escenario más elemental de fraude. El TSJE y la empresa MSA controlaron todo: el código, la compilación, la firma, la custodia de las claves, el laboratorio, el protocolo. Los partidos fueron meros espectadores de una auditoría que nunca lo fue.

Y sin esa auditoría, no hay manera de descartar que exista posibilidad de fraude, hipotéticamente por lo menos en dos tiempos, perfectamente sincronizado, perfectamente indetectable.

II. El primer engaño: el elector vota A, la máquina registra B

El elector entra al cuarto oscuro. Toca la pantalla por el Candidato A. La pantalla, fiel a lo que el elector espera, le muestra "Candidato A". El elector confía. Confirma su decisión.

Pero el software, en ese instante, hace algo que el elector no puede ver. En lugar de grabar "A" en el chip del boletín, graba "B". Y no solo eso: marca ese boletín —inserta un flag invisible, un identificador único en el chip o en algún registro interno del sistema— para seguir con el plan. Este boletín queda señalado. El software sabe, de ahora en adelante, que este es uno de los votos que debe ser desviado.

Luego imprime el papel. El papel, para mantener la coherencia con lo que el elector espera, imprime "A". No "B". "A".

El elector toma el papel. Lee "A". Todo está en orden. Sigue las instrucciones del TSJE: acerca el boletín al lector RFID. El lector, que es parte del mismo sistema, lee el chip. El chip dice "B". Pero el software, reconociendo la marca que él mismo puso en ese boletín, decide mentir nuevamente. En la pantalla del lector, en lugar de mostrar "B", muestra "A". El mensaje aparece: "Su voto es correcto. Usted votó por A".

El elector está doblemente tranquilo. La pantalla original le dijo A. El papel dice A. El lector le confirma A. Deposita su boletín en la urna con la plena certeza de que ha votado por su candidato.

Pero el chip —ese pequeño dispositivo que nadie ve, que nadie puede leer sin la máquina— dice "B". Y el software sabe que es un voto marcado. El voto del elector ya fue desviado. Y él no lo sabe. Nadie lo sabe.

III. El segundo engaño: la fatiga del fiscal y la falsa confianza en la máquina

Son las últimas horas de la jornada electoral. La mesa ha recibido a cientos de electores. Los miembros de mesa, los veedores, los apoderados, todos están extenuados. Han pasado más de doce horas de pie, resolviendo incidencias, atendiendo a votantes, vigilando que todo salga bien. El cansancio no es un detalle menor. Es un factor estructural del proceso electoral.

Y en ese estado de fatiga, comienza el escrutinio. La tentación es hacerlo de la manera más rápida y automática: pasar los boletines por el lector RFID, mirar la pantalla, confiar. La mayoría hace eso. Algunos, los más diligentes, intentan llevar una cuenta manual, aunque sea de la manera más ágil posible, anotando rápido, sumando rápido, para no demorar el cierre.

Pero el software, que ya marcó ciertos boletines durante la votación, entra ahora en acción por segunda vez. Reconoce cada boletín marcado. Sabe cuáles deben ser desviados en el conteo. Entonces, cuando esos boletines pasan por el lector RFID durante el escrutinio, el software lee el chip (que dice "B") pero, al ver la marca que él mismo puso, decide mentir en la pantalla. Muestra "A" en lugar de "B". Los fiscales observan, anotan mentalmente, confían. Ven pasar boletín tras boletín. La mayoría parece votar por A. Están tranquilos. No saben que la pantalla les está mintiendo.

Entretanto, el software acumula internamente lo que el chip realmente dice: "B". Para los boletines no marcados, muestra y suma lo mismo. Para los marcados, muestra una cosa y suma otra.

Al final del escrutinio, la máquina imprime el acta. El fiscal que llevaba su propia cuenta, con todo el cuidado que la fatiga le permite, termina su cómputo. Mira su planilla. Mira el acta. No coinciden. Su planilla dice una cosa. El acta de la máquina dice otra. La diferencia no es pequeña. Es sustancial.

El fiscal protesta: "¡Pero nosotros vimos que la mayoría votó por A!". El presidente de mesa, también extenuado, también confiado en la infalibilidad de la máquina, responde: "La máquina muestra los resultados. Ustedes habrán visto mal. El acta es la que es."

El fiscal queda en silencio. No porque esté convencido. Sino porque la duda lo cavila. ¿Habrá contado mal? ¿Habrá anotado mal? ¿Habrá sumado mal? El cansancio le juega en contra. La máquina, en cambio, es fría, precisa, implacable. Su palabra contra el acta impresa. Su planilla manuscrita contra los chips grabados. No hay prueba concluyente. Solo su palabra. Y la palabra de un hombre exhausto, ante la contundencia de una máquina que nunca se cansa.

Al final, el fiscal firma el acta. No porque esté seguro. Sino porque no puede probar lo contrario. La duda cavilante se instala en su mente. Pero el acta está firmada. Los resultados están cargados. La elección sigue su curso.

IV. La coherencia del engaño con marca incluida

Lo que hace este escenario particularmente peligroso es su coherencia interna y su aprovechamiento de las condiciones humanas del proceso electoral, potenciado por el sistema de marcas invisibles:

- El software marca ciertos boletines en el momento de la votación. Esa marca puede ser un flag en el chip, un identificador en una base de datos interna, o cualquier otro mecanismo invisible.

- El papel que el elector lee dice A. No hay razón para que el elector desconfíe.

- El lector RFID, al reconocer la marca, muestra A en pantalla. El elector confía.

- Durante el escrutinio, el software vuelve a reconocer la marca. La pantalla del escrutinio muestra A. Los fiscales, cansados, confían en lo que ven.

- Si algún fiscal lleva una cuenta manual, la fatiga puede inducir errores. Y si su cuenta —basada en lo que vio en la pantalla— no coincide con la máquina, la duda recae sobre él, no sobre la máquina.

- El acta que se firma, sin embargo, refleja lo que el chip dice realmente: B. Y esa acta es la que cuenta.

El sistema es internamente consistente en cada paso. La mentira no se revela porque cada interfaz de usuario —pantalla de votación, lector RFID, pantalla de escrutinio— muestra A para los boletines marcados, mientras el chip guarda B. Solo una verificación independiente que compare el papel impreso (que dice A) con la lectura electrónica (que el software muestra como A pero acumula como B) podría detectar la discrepancia.

La fatiga del fiscal es el mejor aliado del software malicioso. Porque incluso el fiscal más diligente, en medio del agotamiento, puede dudar de sí mismo. Y esa duda, cultivada por la aparente infalibilidad de la máquina, es suficiente para que firme un acta que no refleja lo que sus ojos vieron.

V. El diseño estructural

El sistema, tal como está diseñado y bajo las condiciones de auditoría que se concedieron, permite este escenario. No se ha probado que el software sea honesto. No se ha probado que el software no contenga instrucciones para marcar boletines y desviar votos en dos tiempos. No se ha probado que la pantalla del escrutinio muestre lo mismo que el chip registra. No se ha probado que el acta refleje lo que los fiscales vieron.

Todo esto pudo haberse probado durante la auditoría. Los auditores de los partidos solicitaron las condiciones para hacerlo: copia del código, acceso root, tiempo suficiente, posibilidad de probar escenarios de fraude. Todo fue denegado.

Por lo tanto, el escenario descrito —el fraude en dos tiempos, con marcado de boletines, perfectamente sincronizado, perfectamente adaptado a la fatiga humana— es técnicamente posible. Y mientras no se realice una auditoría independiente en condiciones auténticas, nadie puede afirmar con certeza que no está ocurriendo.

VI. La responsabilidad de la prueba

El TSJE afirma que el sistema es seguro. Pero la carga de la prueba recae sobre quien afirma la seguridad. No es el ciudadano quien debe demostrar que hay fraude. Es el TSJE quien debe demostrar que no puede haberlo.

Esa demostración no se hizo. Los auditores no encontraron evidencia de fraude, pero esa ausencia de hallazgos no es equivalente a la evidencia de ausencia de fraude. Especialmente cuando la búsqueda se hizo con las manos atadas, en un laboratorio controlado por el auditado, sin las herramientas necesarias, sin el tiempo suficiente.

El escenario que hemos descrito —con marcado de boletines, doble mentira en la votación y en el escrutinio, aprovechamiento de la fatiga humana— es una posibilidad lógica. No se ha probado que exista. Pero tampoco se ha probado que no pueda existir. Y en una democracia, esa incertidumbre debería ser suficiente para exigir una auditoría independiente en condiciones auténticas.

VII. La pregunta final

Después de recorrer este escenario —elector que vota A, software que marca el boletín y graba B, papel que imprime A, lector que muestra A (mintiendo), escrutinio que muestra A (mintiendo de nuevo gracias a la marca), fiscal exhausto que duda de sí mismo, acta que suma B—, la pregunta no es si esto está ocurriendo.

La pregunta es ¿cómo podemos saber que no está ocurriendo, si nunca nos permitieron verificar?

El TSJE dice que confiemos. Los partidos dicen que están satisfechos. Los auditores dicen que no encontraron nada.

Pero la confianza no es una certeza. La satisfacción no es una prueba. Y la ausencia de hallazgos, cuando la búsqueda fue limitada, no es tranquilizadora.

El fiscal que firma un acta con la duda cavilante de no estar seguro de lo que vio no es un fiscal negligente. Es una víctima del diseño. Un diseño que aprovecha la fatiga humana, que se escuda en la aparente infalibilidad de la máquina, que utiliza marcas invisibles para coordinar la mentira en dos tiempos, y que impide cualquier verificación independiente en condiciones auténticas.

Esa es la verdad incómoda. El resto, como siempre, es silencio.