← Todos los artículos

El líquido corrector decidió una elección — hasta que los tribunales se dieron cuenta

Un pequeño frasco de líquido corrector blanco alteró suficientes hojas de recuento para anular una elección presidencial completa — y los tribunales dijeron que ninguna cantidad de garantías oficiales podría arreglarlo.

Es la mañana del 3 de febrero de 2020, y cinco jueces en Blantyre, Malaui acaban de hacer algo que ha conmocionado a todas las autoridades electorales del continente: han anulado la victoria electoral de un presidente en ejercicio.

No porque se robaran papeletas. No porque se piratearan votos. Porque alguien tenía un frasco de Tipp-Ex.

Ese único detalle — líquido corrector, el tipo que usan los estudiantes para arreglar tareas — resultó ser suficiente para hacer que un resultado presidencial completo fuera legalmente no verificable. La Corte Constitucional de Malaui anuló la elección de mayo de 2019 del presidente Peter Mutharika después de descubrir que las hojas de resultados oficiales habían sido alteradas con líquido corrector, que existían formularios de recuento duplicados, y que pilas de formularios estaban sin firmar o manejados incorrectamente. La Corte Suprema de Apelaciones confirmó esa sentencia el 8 de mayo de 2020, en Mutharika & Electoral Commission v Chilima & Chakwera (MSCA Constitutional Appeal No. 1 of 2020). Se ordenó una nueva elección.

La Comisión Electoral había declarado a Mutharika como el ganador por un margen estrecho. La respuesta de los tribunales fue precisa: un ganador por margen estrecho en documentos que pueden ser silenciosamente sobrescritos no es un ganador que la ley pueda verificar.

El documento es la elección

Esto es algo en lo que la mayoría de las personas no piensan la noche de las elecciones, cuando los gráficos están girando y los presentadores hablan de márgenes: cada número que ves originó como una marca en una hoja de papel física en algún lugar, rellena por un ser humano en una mesa electoral, a las 10 p.m., con lo que fuera bolígrafo que estuviera a mano.

Esa hoja es la elección. No el gráfico de televisión. No la base de datos en el centro nacional de recuento. No el comunicado de prensa de la Comisión Electoral.

Si esa hoja puede ser alterada — con un bolígrafo, con líquido corrector, simplemente reemplazándola con un duplicado — entonces todo lo que viene después de ella está construido sobre arena. La base de datos es incorrecta. El gráfico es incorrecto. El comunicado de prensa es falso. Y crucialmente, ninguna cantidad de auditoría de la base de datos revelará el problema, porque la base de datos refleja la hoja alterada.

Este no es un riesgo abstracto. En Malaui, los tribunales encontraron que estaba sucediendo a escala: uso generalizado de líquido corrector en formularios de recuento oficiales, duplicados en circulación, documentos sin firmar entrando en el recuento. El resultado fue una elección presidencial que no podía ser reconstruida a partir de sus propios documentos de origen.

La lección no es que Malaui sea singularmente corrupto. La lección es que una hoja de recuento sin evidencia de alteración es una superficie de ataque, en cualquier parte del mundo, y que la fragilidad es invisible hasta que alguien desafía el resultado en los tribunales.

Qué significa realmente "evidencia de alteración"

Probablemente hayas manejado un sello con evidencia de alteración sin pensar en ello. La cinta de plástico en una botella de medicina. La cera en un documento legal. La brida numerada en una bolsa de papeletas después de que cierran las mesas electorales.

Estos no son solo ceremonias. Sirven una función de verificación específica: si el sello se rompe o el documento se altera, la evidencia de la alteración es en sí misma visible. No tienes que confiar en que nadie tocó la botella; puedes ver que el anillo está intacto.

Una hoja de recuento oficial que puede ser sobrescrita con líquido corrector no tiene nada de esto. La alteración no deja rastro obvio. La figura "corregida" se ve exactamente tan autorizada como la original. Un formulario firmado solo después de la corrección no puede atestar cuál era la figura original.

La versión más fuerte de evidencia de alteración para un documento en papel es la multifirma: si el formulario es firmado por agentes que representan a múltiples partes, en tinta, antes de que alguien salga de la mesa electoral, entonces cualquier alteración posterior requiere falsificar todas esas firmas u obtener que todos esos agentes estén de acuerdo con el cambio. Cualquiera de los dos caminos es mucho más difícil que un frasco de Tipp-Ex.

Ve más allá: el formulario podría ser fotografiado inmediatamente por el agente de cada parte en su propio teléfono y subido. Ahora el "original" existe en múltiples copias independientes en el momento en que se crea. Una alteración posterior a la hoja física puede ser detectada comparándola con cualquiera de esas copias.

Más aún: un sistema podría requerir que los formularios de resultados sean firmados digitalmente con una clave que cada agente posee independientemente, y que los datos firmados sean transmitidos a un repositorio público en el momento en que cierra la mesa electoral. Ahora el resultado está criptográficamente asegurado al momento del recuento. Ningún líquido corrector puede tocarlo.

Ninguno de estos son exóticos. Todos ellos existen. La mayoría del mundo no los utiliza.

Kenia, 2017: el mismo problema, un nivel arriba

La vulnerabilidad de Malaui estaba en el nivel del formulario físico — el papel que una mesa electoral rellena. Pero el mismo principio opera en cada nivel de la cadena.

En Kenia en 2017, la Corte Suprema anuló una elección presidencial no porque los formularios de las mesas electorales estuvieran obviamente alterados, sino porque la transmisión y el manejo de esos formularios a nivel nacional no podían ser verificados. Bajo el Artículo 86 de la constitución de Kenia, la votación debe ser "exacta, verificable, segura, responsable y transparente". La Corte encontró que no todos los formularios de resultados de mesas electorales habían sido transmitidos electrónica y simultáneamente como lo requería la ley, que los formularios carecían de características de seguridad consistentes, y que el formulario de recuento nacional final no tenía marca de agua ni número de serie. El presidente había declarado el resultado antes de que todos los formularios subyacentes estuvieran en mano.

Ver la sentencia completa de la Corte Suprema de Kenia.

El punto más profundo — idéntico en ambos casos — es esto: un resultado electoral es una cadena de custodia, no un número. Cada eslabón de esa cadena, desde el momento en que un votante marca una papeleta hasta el momento en que se declara un ganador, debe ser independientemente verificable. Rompe un eslabón y la cadena en su conjunto no puede ser confiable, incluso si todos los otros eslabones son perfectos.

La cadena de Malaui se rompió en el eslabón más básico: el documento de origen. La de Kenia se rompió en la transmisión y agregación. La vulnerabilidad es diferente; el modo de fallo es el mismo.

Qué significa realmente "la auditoría lo confirmó"

Cuando una autoridad electoral dice que una auditoría confirmó el resultado, esa afirmación es tan fuerte como aquello contra lo que se auditó.

Si los auditores verificaron los totales de máquinas contra las hojas de recuento, y las hojas de recuento habían sido alteradas antes de la auditoría, la auditoría confirma el resultado alterado. No detecta nada.

Esta es la limitación irreducible de cualquier auditoría que funciona hacia atrás a partir de una única cadena de documentos. Una auditoría solo puede detectar alteraciones que dejaron un rastro detectable — en los documentos específicos que los auditores están examinando, utilizando los métodos específicos que aplican. Si el documento de origen es el punto de ataque, auditar los registros derivados no te dice nada sobre el origen.

El recuento manual de Georgia en 2020 — aproximadamente cinco millones de papeletas, condado por condado, en menos de seis días — es la versión más fuerte de una auditoría en papel. Verificó las tabulaciones de máquinas contra las papeletas físicas en sí, no contra hojas de recuento. La variación fue de aproximadamente una décima de uno por ciento. Ese es un resultado extraordinario, y significa algo preciso: las papeletas que las máquinas contaron eran, con alta confianza, las papeletas que los votantes marcaron.

Pero esa confianza depende completamente de la integridad de la cadena de custodia de papeletas. Si las papeletas en sí hubieran sido alteradas o sustituidas antes del recuento, el recuento manual habría confirmado el fraude, no lo habría detectado. El recuento manual de Georgia funcionó porque la cadena de papeletas estaba intacta. En Malaui, la cadena de hojas de recuento no lo estaba.

La brecha entre "auditoría confirmó el resultado" y "el resultado es verificablemente correcto" es exactamente del tamaño de cada suposición no examinada en la cadena de custodia de la auditoría.

La hoja de recuento alterable es una brecha con nombre

En TrustVoting, rastreamos una clase específica de vulnerabilidad llamada la hoja de recuento alterable — la brecha que se abre cuando el documento de origen de un resultado puede ser sobrescrito, duplicado, o reemplazado sin que la alteración sea detectable por una parte independiente.

Malaui es el ejemplo más documentado en los tribunales, pero la condición subyacente — hojas de recuento que no llevan firma criptográfica, atestación multipartidaria, marca de tiempo inmutable, o copia mantenida independientemente — es común en docenas de sistemas electorales. El caso de Malaui es notable no porque fuera inusual, sino porque los tribunales tenían suficiente evidencia para actuar sobre él.

La pregunta es cuántas elecciones tienen la misma vulnerabilidad y nadie con legitimidad para impugnarla, o ningún tribunal dispuesto a actuar, o ninguna evidencia que sobrevivió al recuento.

Ver cuán común es esta brecha en todo el mundo →

La respuesta estructural: verificabilidad que ningún oficial puede invalidar

Aquí está el argumento hecho claramente.

El problema en Malaui no era que los funcionarios electorales no fueran confiables. El problema es que el sistema requería que confiaras en ellos. La hoja de recuento no tenía propiedad alguna que permitiera a cualquier otro — un agente del partido perdedor, un periodista, un ciudadano — verificar independientemente que el número en la hoja era el número registrado en el momento del recuento.

Cuando un sistema requiere confianza, es vulnerable a quien controle el elemento confiable. El Tipp-Ex es barato. También lo es un formulario duplicado. También lo es un comisionario electoral simpático que decide cuál versión de una hoja contestada entra en el recuento.

La respuesta estructural es diseñar sistemas donde la confianza no es necesaria, porque la verificación independiente es posible.

¿Qué se ve así en la práctica?

Significa que los formularios de resultados son firmados por agentes de todos los partidos en contienda, en la mesa electoral, antes de que alguien se vaya — y que esas firmas están en el registro usado para compilar el resultado nacional. Esta no es una idea nueva; es una práctica estándar en elecciones bien administradas, y su ausencia en Malaui fue parte de lo que los tribunales notaron.

Significa que los formularios firmados son fotografiados y las imágenes subidas inmediatamente, de modo que cualquier alteración posterior al documento físico es detectable por comparación.

Significa que los datos subidos son firmados criptográficamente con una clave mantenida por una parte independiente — no la comisión electoral — de modo que el registro "oficial" no puede ser silenciosamente cambiado entre la carga y la publicación.

Significa que el resultado publicado, a nivel de precinto, es inmediatamente descargable en forma legible por máquina por cualquiera, de modo que la suma de resultados de precintos es independientemente computable sin pedir permiso a nadie.

Ninguna de estas propiedades requiere confiar en que la comisión electoral haya contado honestamente. Ese es precisamente el punto. Verificabilidad significa que cualquiera puede verificar la aritmética. No significa que alguien tenga que aceptar la aritmética de buena fe.

Qué aún no es verificable — y qué cambiaría eso

Esto es lo que los tribunales de Malaui pudieron verificar: que el líquido corrector había sido aplicado a formularios oficiales, que duplicados existían, que faltaban firmas. Esto es lo que no pudieron verificar: cuáles eran las figuras originales, no alteradas.

Esa información se ha ido. La elección no puede ser reconstruida a partir de los documentos de origen que deberían haber sido su fundación, porque los documentos de origen fueron sobrescritos. El único remedio de los tribunales fue anular el resultado y celebrar una nueva votación.

Un sistema con copias mantenidas independientemente, criptográficamente aseguradas de cada resultado de mesa electoral, creadas en el momento del recuento y mantenidas por partes fuera del control de la comisión electoral, permitiría a un tribunal — o a un periodista, o al equipo legal de un candidato perdedor — comparar la figura "oficial" con el registro original firmado y ver exactamente dónde ocurrió la alteración y por cuánto.

Esa comparación es actualmente imposible en la mayoría de las elecciones del mundo. Los documentos de origen son mantenidos por la misma autoridad que compiló el resultado a partir de ellos. La auditoría verifica los registros de la autoridad contra los registros de la autoridad.

Lo que lo haría verificable por cualquiera: resultados de precinto firmados, mantenidos independientemente, públicamente accesibles, publicados en el momento en que cada mesa electoral cierra, en una forma que ninguna autoridad pueda silenciosamente alterar después del hecho.

Eso no es un deseo utópico. Es una especificación de ingeniería. Algunos de los componentes ya existen. Lo que falta, en Malaui y en la mayoría del mundo, es el marco institucional y legal que lo requiera — y la tecnología independiente para entregarlo.

Un tribunal con suficiente evidencia puede anular un resultado. Un sistema con verdadera verificabilidad nunca necesitaría hacerlo.

Lee la versión de 2 minutos de esta brecha →

Ver el índice completo de brechas →

Fuentes

Ver todos los artículosExplora las brechas