Em maio de 2019, o governo de Baltimore, Maryland, caiu no caos. Os cibercriminosos bloquearam o acesso da cidade a muitos de seus arquivos críticos e exigiram pagamento para descriptografá-los. A cidade se recusou a pagar o resgate. O ataque incapacitou uma série de serviços, incluindo transações imobiliárias e pagamento de contas, e os custos de recuperação dispararam para milhões.
O plano de estudos da turma 11.074/11.274 (Clínica de Segurança Cibernética), curso do Departamento de Estudos e Planejamento Urbano do MIT (DUSP), inclui um estudo de caso sobre a situação de Baltimore como exemplo de ataques de ransomware cada vez mais comuns contra governos municipais e outras agências públicas. Para combater tais ameaças, o palestrante Jungwoo Chun e o professor de Planejamento Urbano e Ambiental da Ford, Lawrence Susskind, lançaram o Clínica de segurança cibernética do MIT em 2019. Eles oferecem o curso quase todos os semestres desde então.
Muito parecido com uma clínica jurídica ou médica, o curso funciona como treinamento prático para estudantes e um serviço gratuito para comunidades em risco. Depois de concluir os módulos instrucionais e passar no exame de certificação, os alunos são designados em equipes para um cliente. Ao closing do semestre, cada equipe elabora um relatório avaliando as vulnerabilidades do cliente a ataques cibernéticos e recomendando medidas para melhorar a proteção. Até agora, a clínica forneceu mais de 40 avaliações, confidenciais e gratuitas, principalmente para municípios e organizações de saúde da Nova Inglaterra.
Em 2025, o Centro de Reclamações sobre Crimes na Web do FBI documentou uma média de 2.765 ataques cibernéticos contra americanos todos os dias. Quando estes ataques atingem cidades e vilas, as consequências vão além das finanças, diz Chun: “Há um efeito aterrorizante e em cascata em todas as dimensões das nossas vidas”.
Nos últimos anos, os ataques cibernéticos direcionados aos tipos de comunidades clientes atendidas pela clínica do MIT colocaram em risco o abastecimento de água, impediram o 911 e os serviços policiais e expuseram os dados pessoais dos cidadãos.
Apesar de serem portas de entrada para infraestruturas essenciais, muitos pequenos municípios e hospitais carecem de pessoal interno com formação em segurança cibernética. A procura destes peritos excede largamente a oferta no mercado de trabalho precise e os orçamentos do sector público raramente conseguem igualar os elevados salários que as empresas privadas oferecem aos candidatos qualificados.
De acordo com a Comparitech, de 2018 a 2024, ocorreram 525 ataques de ransomware a entidades governamentais dos EUA, aproximadamente um a cada cinco dias, levando a cerca de US$ 1,09 bilhão em custos de inatividade.
“Organizações públicas e sem fins lucrativos subfinanciadas precisam seguir um caminho de autoajuda”, diz Susskind. “Existem muitas medidas de baixo custo que essas organizações podem implementar com um pouco de treinamento de uma clínica de serviço gratuito.”
Engenharia social defensiva
Alguns podem se surpreender ao encontrar um programa universitário de segurança cibernética fora do departamento de ciência da computação. Chun é um cientista social aplicado com experiência em políticas públicas e planejamento, e Susskind é um importante estudioso da resolução de conflitos e construção de consenso. Eles chamam a abordagem que desenvolveram para a clínica de “engenharia social defensiva” para enfatizar que a segurança cibernética não é apenas um desafio técnico.
Chun reconhece que o rápido desenvolvimento da inteligência synthetic criou novas ferramentas alarmantes para os criminosos — “agora a IA pode não só identificar a vulnerabilidade, mas também realizar o ataque em si, o que é realmente assustador” — e um menu em constante evolução de reivindicações de software program para se proteger contra estes ataques. Conseqüentemente, o curso dedica um tempo considerável aos aspectos técnicos da segurança cibernética. “Mas no closing das contas”, diz Chun, “o maior vetor de ataque ainda é através dos humanos”.
O termo “engenharia social” geralmente se refere às maneiras pelas quais as vítimas de crimes cibernéticos são manipuladas para comprometer a segurança (por exemplo, enviando dinheiro a um golpista, baixando código malicioso ou divulgando informações confidenciais). O conceito de engenharia social defensiva de Susskind e Chun é igualmente fundamentado na psicologia humana. A abordagem enfatiza que a segurança cibernética deve fazer parte do trabalho de todos, técnicos ou não.
“Trata-se de pessoas que sabem o que fazer, pessoas que fazem as escolhas certas”, diz Chun. “Está ajudando-os a usar os recursos e o orçamento que possuem agora em coisas que podem ser duradouras, em vez de gastar apenas no software program antivírus mais recente.”
“Os estudantes com formação em ciência da computação ficam surpresos com a importância que atribuímos a ajudar os clientes a desenvolver capacidade organizacional”, diz Susskind. “Os alunos precisam entender a dinâmica de liderança em suas comunidades de clientes. O diretor de TI não pode simplesmente fazer o que quer. Eles dependem do governo native para seu orçamento. Eles precisam de aprovação para contratar novos funcionários.”
Por outro lado, diz Susskind, estudantes com formação em planeamento ou ciências sociais muitas vezes estudam inovações em cidades inteligentes sem aprender muito sobre as tecnologias necessárias para gerir os riscos associados. E há aspectos da IA e do design de sistemas avançados – juntamente com a legislação cibernética e outros tópicos críticos para a segurança cibernética – que os estudantes de engenharia podem não aprender nos seus outros cursos. A Clínica de Cibersegurança tem como objetivo complementar o conhecimento dos alunos de todas as disciplinas. O curso também visa ampliar o conhecimento desses alunos, convidando pelo menos meia dúzia de palestrantes convidados a cada semestre da indústria, de outras universidades e de departamentos acadêmicos do MIT, da indústria e/ou órgãos públicos relevantes.
Na primavera passada, por exemplo, a lista de palestrantes incluía Dan Ricci, fundador da Industrial Knowledge Works, sobre modelagem de risco em sistemas de energia em ambientes com orçamento limitado; Gus Serino, presidente da I&C Safe Inc., sobre segurança cibernética de tecnologia operacional para sistemas de controle industrial; e representantes do MassCyberCenter e da Cybersecurity Infrastructure Safety Company fornecendo visões gerais dos programas e iniciativas de suas respectivas organizações em nível estadual e federal.
“Há coisas altamente especializadas para aprender, especialmente sobre a forma como a IA está a mudar a segurança cibernética, que precisamos de ajuda para ensinar”, diz Susskind. “O ritmo a que o campo da segurança cibernética está a mudar significa que a maioria dos académicos terá muita dificuldade em acompanhar.”
Um roteiro para melhorias
Os alunos da clínica passam as primeiras quatro semanas do semestre se preparando para as tarefas de campo. Uma série de módulos on-line, complementados por discussões em sala de aula, descrevem o escopo e a natureza dos ataques cibernéticos contra infraestruturas urbanas críticas; rever as 23 áreas de risco mais relevantes para o seu tipo de clientes; e fornecer orientação para cada etapa do processo de avaliação. Isso inclui simulações de interações complicadas com clientes. E se os clientes não levarem os alunos a sério ou não fornecerem as informações necessárias? E se eles argumentarem para receber uma avaliação mais positiva do que os factos justificam?
“Nunca tive uma aula que nos preparasse para cenários tão realistas antes”, diz Diego Contreras, um graduado em ascensão em ciência da computação e engenharia que concluiu o curso nesta primavera.
Os módulos culminam em um exame que os alunos devem passar na primeira tentativa para receber uma tarefa de campo. Durante o restante do semestre, eles receberão suporte contínuo por meio de reuniões de classe semanais e obterão sugestões do corpo docente em seus relatórios elaborados, mas a responsabilidade recai sobre os alunos para coordenar as atividades de sua equipe e construir a confiança do cliente.
“Você representa o MIT e essa é uma grande responsabilidade”, diz Contreras. “Este curso me proporcionou habilidades pessoais que eu não teria desenvolvido em nenhum outro contexto.”
“O aspecto mais delicado do projeto foi equilibrar os resultados da nossa avaliação”, diz Zev Moore ’26, que participou do curso no outono passado quando estava no último ano estudando economia matemática e finanças. “Nossa abordagem foi fornecer suggestions importante e, ao mesmo tempo, validar as medidas de segurança positivas que nosso cliente já tinha em vigor, o que garantiu que nosso relatório parecesse um roteiro colaborativo para melhorias.”
Certas recomendações importantes aparecem na maioria dos relatórios. Por exemplo, os clientes são aconselhados a inventariar todo o {hardware} e software program vinculado à sua rede e rastrear quem tem acesso; corrigir software program e fazer backup de dados regularmente; exigem autenticação multifator e atualizações frequentes de senha; treinar os funcionários para não abrirem anexos de pessoas desconhecidas; preparar um plano de resposta a ataques que esclareça as linhas de autoridade e inclua a posição da organização sobre o pagamento de resgates; e use apenas fornecedores com boa higiene de segurança cibernética.
“Nenhum desses itens é caro”, diz Susskind. “Juntos, eles provavelmente evitarão 80% ou mais dos possíveis custos e perigos dos ataques cibernéticos.”
Divulgando o modelo
Até o momento, mais de 120 alunos concluíram o curso completo no MIT. Os módulos on-line que preparam os alunos para a certificação estão disponíveis gratuitamente ao público como um curso on-line aberto e massivo sobre MITx chamado Cibersegurança para infraestruturas urbanas críticasque atraiu dezenas de milhares de alunos. Os módulos também são usados por universidades com suas próprias clínicas de segurança cibernética — um grupo crescente, em parte graças a um consórcio (com 61 instituições membros e aumentando) cofundada pelo MIT em 2021 com a Universidade da Califórnia em Berkeley, a Universidade de Indiana e a Universidade do Alabama.
A maioria das equipes de estudantes encerra o trabalho do cliente após finalizar suas recomendações; alguns se ofereceram para permanecer após o closing do semestre para aconselhar sobre a implementação. Em ambos os casos, Susskind e Chun conversam periodicamente com os clientes durante pelo menos dois anos após cada compromisso.
“Ouvimos frequentemente falar do relatório de avaliação de vulnerabilidades que serve como modelo da organização para a sua agenda de curto, médio e longo prazo para estar mais preparada para ataques futuros”, diz Chun. “Trabalhamos principalmente com diretores de TI ou diretores de tecnologia, e muitos deles nos disseram, após o compromisso, que compartilharam o relatório do MIT com a liderança da cidade e conseguiram convencê-los de que precisavam de um orçamento additional ou de um merchandise de linha específico. Eles estavam usando o relatório do aluno como alavanca para dizer: ‘não sou só eu que estou dizendo isso. Temos uma equipe confiável que dedicou seu tempo e estas são as descobertas.’
“É realmente uma experiência humilhante”, acrescenta Chun, “quando alguns de nossos clientes anteriores nos procuram novamente depois de algum tempo para dizer: ‘Agora temos pessoas diferentes, acabamos de comprar equipamentos novos. Podemos fazer tudo de novo?'”