En mayo de 2019, el gobierno de Baltimore, Maryland, cayó en el caos. Los ciberdelincuentes habían bloqueado el acceso de la ciudad a muchos de sus archivos críticos y exigieron un pago para descifrarlos. La ciudad se negó a pagar el rescate. El ataque incapacitó una serie de servicios, incluidas transacciones de bienes raíces y pago de facturas, y los costos de recuperación se dispararon a millones.
El plan de estudios de la clase 11.074/11.274 (Clínica de Ciberseguridad), un curso del Departamento de Estudios y Planificación Urbana (DUSP) del MIT, incluye un estudio de caso sobre la situación de Baltimore como ejemplo de ataques de ransomware cada vez más comunes contra gobiernos municipales y otras agencias públicas. Para contrarrestar tales amenazas, el profesor Jungwoo Chun y el profesor Ford de Planificación Urbana y Ambiental Lawrence Susskind lanzaron la Clínica de Ciberseguridad del MIT en 2019. Desde entonces, han ofrecido el curso casi todos los semestres.
Al igual que una clínica médica o legal, el curso también funciona como capacitación práctica para estudiantes y como servicio gratuito para comunidades en riesgo. Después de completar los módulos de instrucción y aprobar un examen de certificación, los estudiantes son asignados en equipos a un cliente. Al final del semestre, cada equipo crea un informe que evalúa las vulnerabilidades del cliente ante un ciberataque y recomienda pasos para mejorar la protección. Hasta ahora, la clínica ha realizado más de 40 evaluaciones, confidenciales y gratuitas, principalmente para municipios y organizaciones de atención médica de Nueva Inglaterra.
En 2025, el Centro de Denuncias de Delitos en Internet del FBI documentó un promedio de 2.765 ciberataques dirigidos a estadounidenses cada día. Cuando estos ataques golpean ciudades y pueblos, las consecuencias van más allá de las finanzas, dice Chun: “Hay un efecto en cascada aterrador en todas las dimensiones de nuestras vidas”.
En los últimos años, los ataques cibernéticos dirigidos a los tipos de comunidades de clientes atendidos por la clínica del MIT han puesto en peligro el suministro de agua, han impedido los servicios del 911 y de la policía y han expuesto los datos personales de los ciudadanos.
A pesar de ser puertas de entrada a infraestructuras esenciales, muchos municipios y hospitales pequeños carecen de personal interno capacitado en ciberseguridad. La demanda de estos expertos supera con creces la oferta en el mercado laboral actual, y los presupuestos del sector público rara vez pueden igualar los altos salarios que las empresas privadas ofrecen a los candidatos calificados.
Según Comparitech, de 2018 a 2024, ha habido 525 ataques de ransomware contra entidades gubernamentales de EE. UU., aproximadamente uno cada cinco días, lo que generó aproximadamente 1.090 millones de dólares en costos de tiempo de inactividad.
“Los organismos públicos y sin fines de lucro que no cuentan con fondos suficientes deben seguir un camino de autoayuda”, dice Susskind. “Hay muchas medidas de bajo costo que estas organizaciones pueden implementar con un poco de asesoramiento de una clínica de servicio gratuito”.
Ingeniería social defensiva
Algunos podrían sorprenderse al encontrar un programa universitario de ciberseguridad ubicado fuera del departamento de informática. Chun es un científico social aplicado con experiencia en políticas públicas y planificación, y Susskind es un destacado estudioso de la resolución de conflictos y la creación de consenso. Llaman al enfoque que han desarrollado para la clínica “ingeniería social defensiva” para enfatizar que la ciberseguridad no es únicamente un desafío técnico.
Chun reconoce que el rápido desarrollo de la inteligencia artificial ha creado nuevas herramientas alarmantes para los delincuentes – “ahora la IA no sólo puede identificar la vulnerabilidad, sino también realizar el ataque en sí, lo cual es realmente aterrador” – y un menú de software en constante evolución pretende protegerse contra estos ataques. En consecuencia, el curso dedica un tiempo considerable a los aspectos técnicos de la ciberseguridad. “Pero al final del día”, dice Chun, “el mayor vector de ataque sigue siendo a través de los humanos”.
El término “ingeniería social” comúnmente se refiere a las formas en que se manipula a las víctimas de delitos cibernéticos para comprometer la seguridad (por ejemplo, enviando dinero a un estafador, descargando código malicioso o revelando información confidencial). El concepto de ingeniería social defensiva de Susskind y Chun se basa de manera similar en la psicología humana. El enfoque enfatiza que la ciberseguridad debe ser parte del trabajo de todos, técnicos o de otro tipo.
“Se trata de que la gente sepa qué hacer y de que tome las decisiones correctas”, dice Chun. “Les está ayudando a utilizar los recursos y el presupuesto que tienen ahora en cosas que pueden ser duraderas, en lugar de simplemente gastar en el último software antivirus”.
“Los estudiantes con experiencia en informática se sorprenden por la importancia que damos a ayudar a los clientes a desarrollar capacidad organizacional”, dice Susskind. “Los estudiantes necesitan comprender la dinámica del liderazgo en sus comunidades de clientes. El director de TI no puede simplemente hacer lo que quiere. Dependen del gobierno local para su presupuesto. Necesitan aprobación para contratar personal nuevo”.
Por otro lado, dice Susskind, los estudiantes con formación en planificación o ciencias sociales a menudo estudian las innovaciones de las ciudades inteligentes sin aprender mucho sobre las tecnologías necesarias para gestionar los riesgos asociados. Y hay aspectos de la IA y el diseño de sistemas avanzados (junto con el derecho cibernético y otros temas críticos para la ciberseguridad) que los estudiantes de ingeniería tal vez no aprendan en sus otros cursos. La Clínica de Ciberseguridad tiene como objetivo completar los conocimientos de los estudiantes de todas las disciplinas. El curso también apunta a ampliar el conocimiento de esos estudiantes, invitando cada semestre al menos a media docena de oradores invitados de la industria, otras universidades y departamentos académicos del MIT, la industria y/o agencias públicas relevantes.
La primavera pasada, por ejemplo, el grupo de conferenciantes incluyó a Dan Ricci, fundador de Industrial Data Works, sobre el modelado de riesgos en sistemas energéticos en entornos con presupuesto limitado; Gus Serino, presidente de I&C Secure Inc., sobre ciberseguridad de tecnología operativa para sistemas de control industrial; y representantes de MassCyberCenter y la Agencia de Seguridad de Infraestructura de Ciberseguridad que brindan descripciones generales de los programas e iniciativas de sus respectivas organizaciones a nivel estatal y federal.
“Hay cosas altamente especializadas que aprender, especialmente sobre las formas en que la IA está cambiando la ciberseguridad, que necesitamos ayuda para enseñar”, dice Susskind. “El ritmo al que está cambiando el campo de la ciberseguridad significa que a la mayoría de los académicos les resultará muy difícil mantenerse al día”.
Una hoja de ruta para la mejora
Los estudiantes de la clínica pasan las primeras cuatro semanas del semestre preparándose para las tareas de campo. Una serie de módulos en línea, complementados con debates en clase, describen el alcance y la naturaleza de los ciberataques contra infraestructuras urbanas críticas; revisar las 23 áreas de riesgo más relevantes para su tipo de clientes; y proporcionar orientación para cada paso del proceso de evaluación. Esto incluye simulaciones de interacciones complicadas con los clientes. ¿Qué pasa si los clientes no toman en serio a los estudiantes o no brindan la información necesaria? ¿Qué pasa si pretenden recibir una evaluación más positiva de la que justifican los hechos?
“Nunca antes había tenido una clase que nos preparara para escenarios tan realistas”, dice Diego Contreras, un estudiante de último año con especialización en ciencias de la computación e ingeniería que completó el curso esta primavera.
Los módulos culminan con un examen que los estudiantes deben aprobar en su primer intento para recibir una tarea de campo. Durante el resto del semestre, recibirán apoyo continuo a través de reuniones de clase semanales y obtendrán comentarios de los profesores sobre sus informes redactados, pero la responsabilidad de coordinar las actividades de su equipo y generar confianza en los clientes recae en los estudiantes.
“Representas al MIT y esa es una gran responsabilidad”, dice Contreras. “Este curso me ha dado habilidades interpersonales que no habría desarrollado en ningún otro contexto”.
“El aspecto más delicado del proyecto fue equilibrar los hallazgos de nuestra evaluación”, dice Zev Moore ’26, quien tomó la clase el otoño pasado como estudiante de último año de economía matemática y finanzas. “Nuestro enfoque fue brindar comentarios importantes y al mismo tiempo validar las medidas de seguridad positivas que nuestro cliente ya tenía implementadas, lo que garantizó que nuestro informe pareciera una hoja de ruta colaborativa para mejorar”.
Ciertas recomendaciones clave aparecen en la mayoría de los informes. Por ejemplo, se recomienda a los clientes que hagan un inventario de todo el hardware y software vinculado a su red y realicen un seguimiento de quién tiene acceso; parchear el software y realizar copias de seguridad de los datos con regularidad; requieren autenticación multifactor y actualizaciones frecuentes de contraseñas; capacitar a los empleados para que no abran archivos adjuntos de partes desconocidas; preparar un plan de respuesta a ataques que aclare las líneas de autoridad e incluya la postura de la organización sobre el pago de rescates; y utilice únicamente proveedores con una buena higiene en materia de ciberseguridad.
“Ninguno de estos artículos es costoso”, dice Susskind. “Juntos, probablemente evitarán el 80 por ciento o más del posible costo y peligro de los ciberataques”.
Difundiendo el modelo
Hasta la fecha, más de 120 estudiantes han completado el curso completo en el MIT. Los módulos en línea que preparan a los estudiantes para la certificación están disponibles gratuitamente para el público como un curso en línea abierto masivo sobre MITx llamado Ciberseguridad para infraestructura urbana crítica, que ha atraído a decenas de miles de estudiantes. Los módulos también son utilizados por universidades con sus propias clínicas de ciberseguridad, un grupo creciente, gracias en parte a un consorcio (con 61 instituciones miembros y contando) cofundado por el MIT en 2021 con la Universidad de California en Berkeley, la Universidad de Indiana y la Universidad de Alabama.
La mayoría de los equipos de estudiantes concluyen el trabajo del cliente después de finalizar sus recomendaciones; algunos se han ofrecido como voluntarios para quedarse después del final del semestre para asesorar sobre la implementación. En cualquier caso, Susskind y Chun se comunican periódicamente con los clientes durante al menos dos años después de cada compromiso.
“A menudo escuchamos que el informe de evaluación de vulnerabilidades sirve como modelo de la organización para su agenda a corto, mediano y largo plazo para estar más preparada para futuros ataques”, dice Chun. “Trabajamos principalmente con directores de TI o directores de tecnología, y muchos de ellos nos han dicho después del compromiso que compartieron el informe del MIT con los líderes de la ciudad o pueblo y pudieron convencerlos de que necesitaban un presupuesto adicional o una partida específica. Usaron el informe del estudiante como palanca para decir: ‘no soy solo yo quien lo dice. Contamos con un equipo creíble que dedicó su tiempo y estos son los hallazgos’.
“Es realmente una experiencia humillante”, añade Chun, “cuando algunos de nuestros clientes anteriores se acercan a nosotros nuevamente después de un tiempo para decirnos: ‘Ahora tenemos personas diferentes, acabamos de comprar equipos nuevos. ¿Podemos hacer todo esto de nuevo?'”